已錄製 一次大規模攻擊利用新型自傳播蠕蟲ChainDrop對NPM軟體包庫中的軟體包發起，該蠕蟲會將惡意軟體注入依賴項中。這次攻擊導致444個軟體包被植入2212個惡意版本。其中，最熱門的三個受感染軟體包——keyv、flat-cache和file-entry-cache——每週的下載量分別為154億次、149.9億次和147.6億次。
該蠕蟲的載入器位於 setup.mjs 和 Math_Symbol.js 檔案中，這兩個檔案透過預先安裝處理程序（“preinstall”: “node setup.mjs”）啟動，該處理程序在安裝受影響的軟體包時被呼叫。這些腳本下載了合法的 Bun 運行時和混淆後的蠕蟲代碼，大小為 710 KB。啟動後，蠕蟲會搜尋系統和環境變量，尋找指向 NPM、PyPI、CircleCI、AWS、GCP、Docker、Azure、HashiCorp、KubernetesK8s 和其他服務的令牌（分析了超過 140 個檔案路徑，例如 ~/.npmrc），並分析記憶體（透過 /proc/）。 /mem) GitHub Actions 環境中的令牌和憑證。
如果偵測到用於連接 NPM 目錄的令牌，蠕蟲會自動發布針對目前環境中正在開發的軟體包的惡意新版本，從而感染依賴關係樹。與先前偵測到的蠕蟲不同， 沙伊-胡魯德 2.0 ChainDrop 實現了 EtherHiding 技術，透過公共以太坊區塊鏈接收控制命令，使用加密技術隱藏傳輸到攻擊者伺服器的機密數據，並向 Claude Code、VS Code 和 GitHub Copilot 的設定檔注入程式碼，以確保其在系統中的存在。
攻擊始於對基於 GitHub Actions 的軟體包發布流程的破壞。 關鍵該軟體包每週下載量達 154 億次，並被 1703 個軟體包用作依賴項。攻擊者創建了一個名為 6.0.0 的新版本，並在其中插入了惡意程式碼，然後使用“值得信賴的出版商» 並正確 SLSA認證發布後，該蠕蟲感染了許多依賴 keyv 的軟體包，然後開始感染間接依賴項。
受蠕蟲病毒影響的熱門軟體包中，包括以下這些軟體包，該蠕蟲病毒會發布針對這些軟體包的惡意版本：
- flat-cache 6.1.24（每週下載量達 149.8 億次）；
- 文件條目快取 11.1.6（147.5 億）
- 可快取請求 13.0.20 (33.9 萬)；
- @cacheable/utils 2.5.1（8.7 萬）
- 可緩存 2.5.1（7.8 萬）
- @cacheable/memory 2.2.1（7.1 萬）
- 快取管理器 7.2.10（4.2 萬）
- @cacheable/node-cache 3.1.2 (1.5 萬)。
來源： linux.org.ru
