Imerekodiwa Shambulio kubwa kwenye vifurushi katika hazina ya NPM lilifanywa kwa kutumia mdudu mpya wa ChainDrop anayejizalisha, ambaye huingiza programu hasidi kwenye vitegemezi. Shambulio hilo lilisababisha kutolewa kwa programu hasidi 2212 kwa vifurushi 444. Vifurushi maarufu zaidi vilivyoathiriwa—keyv, flat-cache, na file-entry-cache—vilipakuliwa mara 154, 149.9, na 147.6 kwa wiki, mtawalia.
Kipakiaji cha mdudu kilikuwa katika faili za setup.mjs na Math_Symbol.js, ambazo zilizinduliwa kwa kutumia kidhibiti cha kusakinisha awali ("preinstall": "node setup.mjs"), ambacho kiliitwa wakati wa kusakinisha kifurushi kilichoathiriwa. Hati hizi zilipakua muda halali wa kukimbia wa Bun na msimbo wa mdudu uliofichwa, ukubwa wa 710 KB. Mara tu baada ya kuamilishwa, mdudu huyo alitafuta vigezo vya mfumo na mazingira kwa tokeni za NPM, PyPI, CircleCI, AWS, GCP, Docker, Azure, HashiCorp, KubernetesK8s, na huduma zingine (zaidi ya njia 140 za faili, kama vile ~/.npmrc, zilichambuliwa), na pia kumbukumbu iliyochambuliwa (kupitia /proc/). /mem) ya mazingira ya Vitendo vya GitHub kwa tokeni na sifa.
Ikiwa tokeni ya kuunganisha kwenye saraka ya NPM iligunduliwa, mdudu huyo alichapisha kiotomatiki matoleo mapya hasidi kwa vifurushi vilivyokuwa vikitengenezwa katika mazingira ya sasa, na kuambukiza mti wa utegemezi. Tofauti na mdudu aliyegunduliwa hapo awali, Shai-Hulud 2.0 ChainDrop ilitekeleza mbinu ya EtherHiding ili kupokea amri za udhibiti kupitia blockchain ya umma ya Ethereum, ilitumia usimbaji fiche kuficha data ya siri iliyotumwa kwa seva ya mshambuliaji, na ilitoa sindano kwenye faili za usanidi za Claude Code, VS Code, na GitHub Copilot ili kuhakikisha uwepo wake katika mfumo.
Shambulio lilianza na maelewano ya mchakato wa kutolewa kulingana na Vitendo vya GitHub kwa kifurushi hicho. ufunguo, ambayo hupakuliwa mara milioni 154 kwa wiki na hutumika kama tegemezi katika vifurushi 1703. Washambuliaji waliunda toleo jipya, 6.0.0, lenye msimbo hasidi ulioingizwa ndani yake na kulichapisha kwa kutumia "Wachapishaji Wanaoaminika» na sahihi Cheti cha SLSABaada ya kuchapishwa, minyoo iliambukiza vifurushi vingi vinavyotegemea keyv na kisha ikaanza kuambukiza utegemezi usio wa moja kwa moja.
Miongoni mwa vifurushi maarufu zaidi vilivyoathiriwa na mdudu huyo, ambaye alichapisha matoleo mabaya kwa ajili yao:
- kashe-gorofa 6.1.24 (vipakuliwa milioni 149.8 kwa wiki);
- hifadhi-akiba ya kuingiza faili 11.1.6 (milioni 147.5);
- ombi linaloweza kuhifadhiwa 13.0.20 (milioni 33.9);
- @cacheable/utils 2.5.1 (milioni 8.7);
- inayoweza kuhifadhiwa 2.5.1 (milioni 7.8);
- @cacheable/kumbukumbu 2.2.1 (milioni 7.1);
- meneja wa akiba 7.2.10 (milioni 4.2);
- @cacheable/node-cache 3.1.2 (milioni 1.5).
Chanzo: linux.org.ru
