{"id":182783,"date":"2026-08-10T19:40:40","date_gmt":"2026-08-10T17:40:40","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/novyj-cherv-chaindrop-porazil-bolee-400-npm-paketov"},"modified":"2026-08-12T20:28:40","modified_gmt":"2026-08-12T18:28:40","slug":"novyj-cherv-chaindrop-porazil-bolee-400-npm-paketov","status":"publish","type":"post","link":"https:\/\/prohoster.info\/nl\/blog\/news\/novyj-cherv-chaindrop-porazil-bolee-400-npm-paketov","title":{"rendered":"De nieuwe worm ChainDrop heeft meer dan 400 NPM-pakketten ge\u00efnfecteerd.","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Geregistreerd<\/a> een massale aanval op pakketten in de NPM-repository, uitgevoerd met behulp van de nieuwe zelfverspreid worm ChainDrop, die malware invoegt in afhankelijkheden. Als resultaat van de aanval zijn er 2212 malware-releases gepubliceerd voor 444 pakketten. De meest populaire van de gecompileerde pakketten, keyv, flat-cache en file-entry-cache, hebben respectievelijk 154, 149,9 en 147,6 miljoen downloads per week.<\/p>\n

 <\/p>\n

De wormloader was aanwezig in de bestanden setup.mjs en Math_Symbol.js, die werden uitgevoerd via de preinstall-handler («preinstall»: «node setup.mjs»), die werd aangeroepen tijdens de installatie van het ge\u00efnfecteerde pakket. De genoemde scripts laadden een legitieme Bun-runtime en obfuscated code van de worm, met een grootte van 710 KB. Na activatie zocht de worm in het systeem en in omgevingsvariabelen naar tokens voor NPM, PyPI, CircleCI, AWS, GCP, Docker, Azure, HashiCorp, KubernetesK8s en andere diensten (in totaal werden meer dan 140 bestandsroutes geanalyseerd, zoals ~/.npmrc), en analyseerde ook het geheugen (via /proc/<pid>/mem) van de GitHub Actions-omgeving op tokens en inloggegevens.<\/p>\n

 <\/p>\n

Als er een token werd ontdekt voor het verbinden met de NPM-catalogus, publiceerde de worm automatisch nieuwe kwaadaardige releases voor de in het huidige milieu ontwikkelde pakketten, waarbij het afhankelijkheidsboom werd aangetast. In tegenstelling tot de eerder ontdekte worm Shai-Hulud 2.0<\/a> werd in ChainDrop de techniek EtherHiding ge\u00efmplementeerd om commando's te ontvangen via de publieke Ethereum-blockchain, werd encryptie gebruikt om gevoelige aanvallersdata die naar de server werd verzonden te verbergen, en werd ingebed in de configuratiebestanden van Claude Code, VS Code en GitHub Copilot om aanwezigheid in het systeem te verankeren.<\/p>\n

 <\/p>\n

De aanval begon met de compromittering van de release-generatieproces op basis van GitHub Actions voor het pakket keyv<\/a>, dat 154 miljoen downloads per week heeft en als afhankelijkheid in 1703 pakketten wordt gebruikt. De aanvallers maakten een nieuwe versie 6.0.0 aan, waarin ze kwaadaardige code invoegden, en publiceerden deze met behulp van het mechanisme \"Trusted Publishers<\/a>\" en correcte SLSA-certificering<\/a>. Na publicatie trof de worm veel afhankelijkheidspakketten van keyv en begon ook indirekte afhankelijkheden aan te vallen.<\/p>\n

 <\/p>\n

Onder de meest populaire pakketten die door de worm waren getroffen en kwaadaardige releases voor hen publiceerden:<\/p>\n