{"id":170684,"date":"2026-05-15T00:24:32","date_gmt":"2026-05-14T22:24:32","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/v-42-npm-paketa-tanstack-integrirovan-samorasprostranyayushhijsya-cherv"},"modified":"2026-05-15T00:24:32","modified_gmt":"2026-05-14T22:24:32","slug":"v-42-npm-paketa-tanstack-integrirovan-samorasprostranyayushhijsya-cherv","status":"publish","type":"post","link":"https:\/\/prohoster.info\/pt\/blog\/news\/v-42-npm-paketa-tanstack-integrirovan-samorasprostranyayushhijsya-cherv","title":{"rendered":"Worm autorreplicante integrado em 42 pacotes NPM do TanStack","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Devido \u00e0 comprometimento do processo de forma\u00e7\u00e3o de releases baseado no GitHub Actions no projeto TanStack, os atacantes conseguiram publicar 84 vers\u00f5es maliciosas no reposit\u00f3rio NPM, que abrangem 42 pacotes NPM do conjunto TanStack. Alguns dos pacotes comprometidos tinham mais de 10 milh\u00f5es de downloads por semana. <\/p>\n
O acesso \u00e0 publica\u00e7\u00e3o de lan\u00e7amentos foi obtido devido a uma configura\u00e7\u00e3o incorreta do pull_request_target \u2018Pwn Request\u2019 nas A\u00e7\u00f5es do GitHub (a especifica\u00e7\u00e3o de um m\u00e1scara nas configura\u00e7\u00f5es levou \u00e0 execu\u00e7\u00e3o do pull_request_target para pull requests em forks externos), contamina\u00e7\u00e3o do cache das A\u00e7\u00f5es do GitHub atrav\u00e9s de um fork e \u00e0 possibilidade de extra\u00e7\u00e3o do token OIDC da mem\u00f3ria do processo runner em execu\u00e7\u00e3o (Runner.Worker) atrav\u00e9s da leitura do conte\u00fado \/proc\/\/mem. <\/p>\n
Os pacotes NPM com altera\u00e7\u00f5es maliciosas foram publicados no dia 11 de maio, entre 22:20 e 22:26 (MSK), detectados ap\u00f3s 20 minutos e bloqueados cerca de uma hora e meia depois. Para cada um dos pacotes NPM afetados, foram lan\u00e7adas duas vers\u00f5es maliciosas, que integravam um c\u00f3digo para ativar o worm mini-shai-hulud, que buscava tokens e credenciais no ambiente atual. Caso um token de conex\u00e3o ao diret\u00f3rio NPM fosse descoberto, o worm publicava automaticamente novas releases maliciosas para os pacotes em desenvolvimento no ambiente atual, afetando a \u00e1rvore de depend\u00eancias. Desta maneira, mais de 400 pacotes NPM foram comprometidos, utilizando pacotes TanStack entre suas depend\u00eancias. <\/p>\n
O verme estava localizado no arquivo router_init.js e era ativado quando o pacote infectado era instalado manualmente pelo desenvolvedor ou automaticamente no ambiente de integra\u00e7\u00e3o cont\u00ednua atrav\u00e9s dos comandos \u2018npm install\u2019, \u2018pnpm install\u2019 ou \u2018yarn install\u2019. Ap\u00f3s a ativa\u00e7\u00e3o, o verme buscava na sistema tokens do NPM (~\/.npmrc), AWS, GCP, Azure, HashiCorp e KubernetesK8s, bem como chaves SSH privadas. Os dados encontrados eram enviados aos invasores atrav\u00e9s do mensageiro descentralizado P2P getsession.org. <\/p>\n
O verme tinha a capacidade de realizar a\u00e7\u00f5es destrutivas em caso de revoga\u00e7\u00e3o do token NPM interceptado \u2014 no sistema, um script era configurado para ser executado periodicamente em ~\/.local\/bin\/gh-token-monitor.sh, que a cada 60 segundos verificava a atividade do token atrav\u00e9s da chamada para api.github.com\/user e, em caso de revoga\u00e7\u00e3o do token, executava o comando \u2018rm -rf ~\/\u2019. \n Fonte: opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"