Geregistreerd een massale aanval op pakketten in de NPM-repository, uitgevoerd met behulp van de nieuwe zelfverspreid worm ChainDrop, die malware invoegt in afhankelijkheden. Als resultaat van de aanval zijn er 2212 malware-releases gepubliceerd voor 444 pakketten. De meest populaire van de gecompileerde pakketten, keyv, flat-cache en file-entry-cache, hebben respectievelijk 154, 149,9 en 147,6 miljoen downloads per week.
De loader van de worm was geplaatst in de bestanden setup.mjs en Math_Symbol.js, die werden uitgevoerd via een preinstall-handler ("preinstall": "node setup.mjs"), aangeroepen bij de installatie van het getroffen pakket. De genoemde scripts laden de legitieme Bun-runtime en de obfuscerende wormcode van 710 KB. Na activatie zocht de worm in het systeem en in de omgevingsvariabelen naar tokens voor NPM, PyPI, CircleCI, AWS, GCP, Docker, Azure, HashiCorp, KubernetesK8s en andere diensten (in totaal werden meer dan 140 bestandsroutes geanalyseerd, zoals ~\/ .npmrc), en analyseerde ook het geheugen (via \/proc\/\/mem) van de GitHub Actions-omgeving op tokens en inloggegevens.
Als er een token werd ontdekt voor het verbinden met de NPM-catalogus, publiceerde de worm automatisch nieuwe kwaadaardige releases voor de in het huidige milieu ontwikkelde pakketten, waarbij het afhankelijkheidsboom werd aangetast. In tegenstelling tot de eerder ontdekte worm Shai-Hulud 2.0 werd in ChainDrop de techniek EtherHiding geïmplementeerd om commando's te ontvangen via de publieke Ethereum-blockchain, werd encryptie gebruikt om gevoelige aanvallersdata die naar de server werd verzonden te verbergen, en werd ingebed in de configuratiebestanden van Claude Code, VS Code en GitHub Copilot om aanwezigheid in het systeem te verankeren.
De aanval begon met de compromittering van de release-generatieproces op basis van GitHub Actions voor het pakket keyv, dat 154 miljoen downloads per week heeft en als afhankelijkheid in 1703 pakketten wordt gebruikt. De aanvallers maakten een nieuwe versie 6.0.0 aan, waarin ze kwaadaardige code invoegden, en publiceerden deze met behulp van het mechanisme "Trusted Publishers" en correcte SLSA-certificering. Na publicatie trof de worm veel afhankelijkheidspakketten van keyv en begon ook indirekte afhankelijkheden aan te vallen.
Onder de meest populaire pakketten die door de worm waren getroffen en kwaadaardige releases voor hen publiceerden:
- flat-cache 6.1.24 (149,8 miljoen downloads per week);
- file-entry-cache 11.1.6 (147,5 miljoen);
- cacheable-request 13.0.20 (33,9 miljoen);
- @cacheable\/utils 2.5.1 (8,7 miljoen);
- cacheable 2.5.1 (7,8 miljoen);
- @cacheable/memory 2.2.1 (7,1 miljoen);
- cache-manager 7.2.10 (4,2 miljoen);
- @cacheable/node-cache 3.1.2 (1,5 miljoen).
Bron: linux.org.ru
