Innspilt Et massivt angrep på pakker i NPM-depotet ble utført ved hjelp av den nye selvforplantende ChainDrop-ormen, som injiserer skadelig programvare i avhengigheter. Angrepet resulterte i 2212 ondsinnede utgivelser for 444 pakker. De mest populære av de kompromitterte pakkene – keyv, flat-cache og file-entry-cache – ble lastet ned henholdsvis 154, 149.9 og 147.6 millioner ganger per uke.
Ormens laster lå i filene setup.mjs og Math_Symbol.js, som ble startet ved hjelp av preinstall-håndtereren ("preinstall": "node setup.mjs"), som ble kalt da den berørte pakken ble installert. Disse skriptene lastet ned den legitime Bun-kjøretiden og obfuskerte ormekoden, 710 KB stor. Etter aktivering søkte ormen i system- og miljøvariablene etter tokens til NPM, PyPI, CircleCI, AWS, GCP, Docker, Azure, HashiCorp, KubernetesK8s og andre tjenester (mer enn 140 filstier, som ~/.npmrc, ble analysert), og analyserte også minne (via /proc/). /mem) i GitHub Actions-miljøet for tokener og legitimasjon.
Hvis et token for tilkobling til NPM-katalogen ble oppdaget, publiserte ormen automatisk nye skadelige utgivelser for pakker som ble utviklet i gjeldende miljø, og infiserte dermed avhengighetstreet. I motsetning til den tidligere oppdagede ormen, Shai-Hulud 2.0 ChainDrop implementerte EtherHiding-teknikken for å motta kontrollkommandoer gjennom den offentlige Ethereum-blokkjeden, brukte kryptering for å skjule konfidensielle data overført til angriperens server, og sørget for injeksjon i konfigurasjonsfilene til Claude Code, VS Code og GitHub Copilot for å sikre sin tilstedeværelse i systemet.
Angrepet startet med et kompromittering av utgivelsesprosessen basert på GitHub-handlinger for pakken. nøkkelv, som lastes ned 154 millioner ganger per uke og brukes som en avhengighet i 1703 pakker. Angriperne opprettet en ny versjon, 6.0.0, med skadelig kode satt inn i den, og publiserte den ved hjelp av "Pålitelige utgivere» og riktig SLSA-sertifiseringEtter publiseringen infiserte ormen mange keyv-avhengige pakker og begynte deretter å infisere indirekte avhengigheter.
Blant de mest populære pakkene som ble påvirket av ormen, som publiserte skadelige utgivelser for dem:
- flat-cache 6.1.24 (149.8 millioner nedlastinger per uke);
- file-entry-cache 11.1.6 (147.5 millioner);
- cacheable-forespørsel 13.0.20 (33.9 millioner);
- @cacheable/utils 2.5.1 (8.7 millioner);
- hurtigbuffer 2.5.1 (7.8 millioner);
- @cacheable/minne 2.2.1 (7.1 millioner);
- cache-manager 7.2.10 (4.2 millioner);
- @cacheable/node-cache 3.1.2 (1.5 millioner).
Kilde: linux.org.ru
