NPM मा एउटा स्व-प्रसारित किराले १८७ प्याकेजहरूलाई संक्रमित गरेको छ।

NPM भण्डारमा प्याकेज मर्मतकर्ताहरूमाथिको आक्रमण नयाँ स्तरमा पुगेको छ। भुक्तानी र गोप्य जानकारीलाई अवरोध गर्न मालवेयर प्रयोग गर्नुको साथै, आक्रमणकारीहरूले मालवेयर प्रतिस्थापनलाई निर्भरताहरूमा स्वचालित गर्न सम्झौता गरिएका प्याकेजहरूमा वर्म इन्जेक्ट गर्न थालेका छन्। @ctrl/tinycolor NPM प्याकेजको सम्झौता पछि वर्मको प्रयोग पत्ता लागेको थियो, जसमा २.२ मिलियन साप्ताहिक डाउनलोडहरू छन् र ९६४ प्याकेजहरूमा प्रत्यक्ष निर्भरताको रूपमा प्रयोग गरिन्छ। वर्मको गतिविधिको परिणामस्वरूप, आक्रमणले १८७ प्याकेजहरूलाई असर गर्यो, जसको लागि दुर्भावनापूर्ण रिलीजहरू सिर्जना गरिएको थियो (४७७ दुर्भावनापूर्ण रिलीजहरू)।

नयाँ आक्रमणमा, फिसिङ मार्फत मर्मतकर्ताको खाता प्रमाणहरू प्राप्त गरेपछि, आक्रमणकारीहरूले वर्म भएको प्याकेज रिलीज प्रकाशित गर्छन्, जुन सम्झौता गरिएको प्याकेजलाई निर्भरताको रूपमा स्थापना गर्दा सक्रिय हुन्छ। एक पटक सक्रिय भएपछि, वर्मले ट्रफलहग उपयोगिता डाउनलोड र चलाउँदै, प्रमाणहरूको लागि हालको वातावरण खोज्छ। यदि NPM निर्देशिका पहुँच टोकन पत्ता लाग्यो भने, वर्मले स्वचालित रूपमा नयाँ दुर्भावनापूर्ण रिलीज प्रकाशित गर्दछ र पालैपालो निर्भरता रूखलाई संक्रमित गर्दछ। NPM पहुँच टोकनको अतिरिक्त, वर्मले GitHub र AWS, Azure, र GCP (Google Cloud Platform) क्लाउड सेवाहरूमा पहुँच कुञ्जीहरू, साथै TruffleHog स्क्यानर द्वारा पत्ता लगाउन सकिने अन्य संवेदनशील डेटा भण्डारण गर्दछ।

Вредоносные релизы формируются для 20 наиболее популярных пакетов, к которым имеет доступ найденный NPM-токен. Функциональность публикации релиза реализована в форме функции NpmModule.updatePackage, которая загружает исходный архив пакета, изменяет номер версии и добавляет postinstall-хук в файл package.json, подставляет обработчик bundle.js, переупаковывает пакет и публикует его. Поддерживается работа в Linux и macOS.

यो किरालाई Shai-Hulud (उपन्यास Dune मा उल्लेख गरिएको एक विशाल किरा) कोडनाम दिइएको छ। प्रणालीमा पाइने प्रमाणहरू Shai-Hulud (जस्तै, "B611/Shai-Hulud") नामक भण्डारहरू सिर्जना गरेर GitHub मा पोस्ट गरिन्छन् र GitHub Actions लगहरूमा पनि इन्क्रिप्ट गरिन्छन्। सिर्जना गरिएको भण्डारमा data.json फाइल हुन्छ, जसमा प्रणाली, वातावरण चरहरू, र अवरोधित पहुँच कुञ्जीहरूको बारेमा जानकारी भएको base64-इनकोडेड स्ट्रिङ हुन्छ। GitHub-आधारित CI मा, किराले बाह्य होस्टमा जानकारी प्रसारण गर्न GitHub Actions ह्यान्डलर (.github/workflows/shai-hulud-workflow.yml) सिर्जना गर्दछ। यस्तो देखिन्छ कि आक्रमण उल्लेख गरिएका १८७ प्याकेजहरूमा सीमित छैन, किनकि Shai-Hulud नामका नयाँ भण्डारहरू र data.json फाइल GitHub मा देखा पर्न जारी छन्।

अन्य कुराहरूका साथै, किराको गतिविधिको परिणामस्वरूप, क्राउडस्ट्राइक कम्पनीका २५ प्याकेजहरू, जसले उपकरणहरू विकास गर्दछ आक्रमणबाट सुरक्षा निर्भरता (सप्लाई चेन) मार्फत। क्राउडस्ट्राइकका अनुसार, सम्झौता गरिएका प्याकेजहरू फाल्कन प्लेटफर्ममा प्रयोग गरिएको थिएन, र आक्रमण ग्राहकहरूमा फैलिएको थिएन। यो पनि खुलासा भयो कि NPM मा दुर्भावनापूर्ण रिलीजको अघिल्लो लहर, जुन किरा बिना भएको थियो, ले गुगल द्वारा विकसित जेमिनी-क्लाइ परियोजनालाई असर गर्यो।

स्रोत: opennet.ru