Đã ghi âm Một cuộc tấn công quy mô lớn vào các gói trong kho lưu trữ NPM đã được thực hiện bằng cách sử dụng sâu máy tính tự lan truyền ChainDrop mới, loại sâu này tiêm phần mềm độc hại vào các gói phụ thuộc. Cuộc tấn công đã dẫn đến 2212 bản phát hành độc hại cho 444 gói. Các gói bị ảnh hưởng phổ biến nhất—keyv, flat-cache và file-entry-cache—được tải xuống lần lượt 154 triệu, 149.9 triệu và 147.6 triệu lần mỗi tuần.
Trình tải của sâu máy tính nằm trong các tệp setup.mjs và Math_Symbol.js, được khởi chạy bằng trình xử lý cài đặt trước ("preinstall": "node setup.mjs"), được gọi khi cài đặt gói bị ảnh hưởng. Các tập lệnh này đã tải xuống môi trường chạy Bun hợp pháp và mã sâu máy tính đã được mã hóa, có kích thước 710 KB. Sau khi được kích hoạt, sâu máy tính đã tìm kiếm các biến hệ thống và môi trường để tìm mã thông báo cho NPM, PyPI, CircleCI, AWS, GCP, Docker, Azure, HashiCorp, KubernetesK8s và các dịch vụ khác (hơn 140 đường dẫn tệp, chẳng hạn như ~/.npmrc, đã được phân tích), và cũng phân tích bộ nhớ (thông qua /proc/). /mem) của môi trường GitHub Actions dành cho mã thông báo và thông tin xác thực.
Nếu phát hiện thấy mã thông báo để kết nối với thư mục NPM, sâu máy tính sẽ tự động phát hành các bản phát hành độc hại mới cho các gói đang được phát triển trong môi trường hiện tại, lây nhiễm vào cây phụ thuộc. Không giống như sâu máy tính đã được phát hiện trước đó, Shai-Hulud 2.0 ChainDrop đã triển khai kỹ thuật EtherHiding để nhận lệnh điều khiển thông qua chuỗi khối Ethereum công khai, sử dụng mã hóa để che giấu dữ liệu bí mật được truyền đến máy chủ của kẻ tấn công và cung cấp khả năng chèn mã vào các tệp cấu hình của Claude Code, VS Code và GitHub Copilot để đảm bảo sự hiện diện của nó trong hệ thống.
Cuộc tấn công bắt đầu bằng việc xâm nhập vào quy trình phát hành dựa trên GitHub Actions dành cho gói phần mềm. chìa khóa, được tải xuống 154 triệu lần mỗi tuần và được sử dụng như một phần phụ thuộc trong 1703 gói phần mềm. Những kẻ tấn công đã tạo ra một phiên bản mới, 6.0.0, với mã độc được chèn vào và phát hành nó bằng cách sử dụng "Nhà xuất bản đáng tin cậy» và đúng Chứng nhận SLSASau khi được công bố, sâu máy tính đã lây nhiễm nhiều gói phụ thuộc vào keyv và sau đó bắt đầu lây nhiễm các gói phụ thuộc gián tiếp.
Trong số các gói phần mềm phổ biến nhất bị ảnh hưởng bởi sâu máy tính, phần mềm độc hại này đã phát tán các bản sao mã độc cho chúng:
- flat-cache 6.1.24 (149.8 triệu lượt tải xuống mỗi tuần);
- bộ nhớ đệm mục nhập tệp 11.1.6 (147.5 triệu);
- cacheable-request 13.0.20 (33.9 triệu);
- @cacheable/utils 2.5.1 (8.7 triệu);
- có thể lưu vào bộ nhớ đệm 2.5.1 (7.8 triệu);
- @cacheable/memory 2.2.1 (7.1 triệu);
- cache-manager 7.2.10 (4.2 triệu);
- @cacheable/node-cache 3.1.2 (1.5 triệu).
Nguồn: linux.org.ru
