บันทึกแล้ว มีการโจมตีครั้งใหญ่ต่อแพ็กเกจในคลัง NPM โดยใช้เวิร์ม ChainDrop ที่แพร่กระจายตัวเองได้ ซึ่งจะแทรกมัลแวร์เข้าไปในส่วนประกอบต่างๆ การโจมตีครั้งนี้ส่งผลให้มีการเผยแพร่มัลแวร์ 2212 รายการสำหรับ 444 แพ็กเกจ แพ็กเกจที่ได้รับความนิยมมากที่สุด ได้แก่ keyv, flat-cache และ file-entry-cache ซึ่งมียอดดาวน์โหลด 154, 149.9 และ 147.6 ล้านครั้งต่อสัปดาห์ ตามลำดับ
ตัวโหลดของเวิร์มนั้นอยู่ในไฟล์ setup.mjs และ Math_Symbol.js ซึ่งถูกเรียกใช้งานโดยใช้แฮนด์เลอร์ preinstall ("preinstall": "node setup.mjs") ซึ่งถูกเรียกใช้เมื่อติดตั้งแพ็กเกจที่ได้รับผลกระทบ สคริปต์เหล่านี้ดาวน์โหลดรันไทม์ Bun ที่ถูกต้องและโค้ดเวิร์มที่ถูกเข้ารหัส ขนาด 710 KB เมื่อเปิดใช้งานแล้ว เวิร์มจะค้นหาโทเค็นในระบบและตัวแปรสภาพแวดล้อมสำหรับ NPM, PyPI, CircleCI, AWS, GCP, Docker, Azure, HashiCorp, KubernetesK8s และบริการอื่นๆ (มีการวิเคราะห์เส้นทางไฟล์มากกว่า 140 เส้นทาง เช่น ~/.npmrc) และยังวิเคราะห์หน่วยความจำ (ผ่าน /proc/) ด้วย /mem) ของสภาพแวดล้อม GitHub Actions สำหรับโทเค็นและข้อมูลประจำตัว
หากตรวจพบโทเค็นสำหรับการเชื่อมต่อกับไดเร็กทอรี NPM เวิร์มจะเผยแพร่เวอร์ชันที่เป็นอันตรายใหม่สำหรับแพ็กเกจที่กำลังพัฒนาในสภาพแวดล้อมปัจจุบันโดยอัตโนมัติ ทำให้เกิดการติดเชื้อในโครงสร้างการพึ่งพา ซึ่งแตกต่างจากเวิร์มที่ตรวจพบก่อนหน้านี้ ชัยฮูลุด 2.0 ChainDrop ใช้เทคนิค EtherHiding เพื่อรับคำสั่งควบคุมผ่านบล็อกเชน Ethereum สาธารณะ ใช้การเข้ารหัสเพื่อซ่อนข้อมูลลับที่ส่งไปยังเซิร์ฟเวอร์ของผู้โจมตี และแทรกแซงไฟล์การกำหนดค่าของ Claude Code, VS Code และ GitHub Copilot เพื่อรักษาความปลอดภัยในการมีอยู่ของตนในระบบ
การโจมตีเริ่มต้นด้วยการเจาะระบบกระบวนการเผยแพร่ที่ใช้ GitHub Actions สำหรับแพ็กเกจดังกล่าว คีย์วีซึ่งมีการดาวน์โหลด 154 ล้านครั้งต่อสัปดาห์ และถูกใช้เป็นส่วนประกอบใน 1703 แพ็กเกจ ผู้โจมตีได้สร้างเวอร์ชันใหม่ 6.0.0 โดยแทรกโค้ดที่เป็นอันตรายเข้าไป และเผยแพร่โดยใช้ "สำนักพิมพ์ที่เชื่อถือได้» และแก้ไข การรับรอง SLSAหลังจากเผยแพร่แล้ว เวิร์มดังกล่าวได้แพร่เชื้อไปยังแพ็กเกจจำนวนมากที่ต้องพึ่งพา keyv จากนั้นก็เริ่มแพร่เชื้อไปยังแพ็กเกจที่ต้องพึ่งพาทางอ้อม
ในบรรดาโปรแกรมยอดนิยมที่ได้รับผลกระทบจากเวิร์ม ซึ่งได้เผยแพร่มัลแวร์ออกมา ได้แก่:
- flat-cache 6.1.24 (มีการดาวน์โหลด 149.8 ล้านครั้งต่อสัปดาห์)
- แคชรายการไฟล์ 11.1.6 (147.5 ล้าน);
- คำขอแคชได้ 13.0.20 (33.9 ล้าน);
- @cacheable/utils 2.5.1 (8.7 ล้าน);
- แคชได้ 2.5.1 (7.8 ล้าน);
- @cacheable/memory 2.2.1 (7.1 ล้าน);
- ตัวจัดการแคช 7.2.10 (4.2 ล้าน);
- @cacheable/node-cache 3.1.2 (1.5 ล้าน)
ที่มา: linux.org.ru
