Расширенная атака на JavaScript NPM распространяет самовоспроизводящееся вредоносное ПО по всей криптоэкосистеме

Распространённое нарушение цепочки поставок JavaScript затронуло более 400 программных пакетов в различных отраслях, при этом исследователи кибербезопасности отмечают глубокую уязвимость в инфраструктуре, связанной с криптовалютами. Обнаружения Aikido Security выявили тревожную тенденцию: злоумышленник развернул Shai Hulud — сложное самовоспроизводящееся вредоносное ПО, предназначенное для автономного распространения через среды разработчиков и извлечения чувствительных учетных данных.

Масштаб атаки и технический механизм

Вредоносное ПО действует иначе, чем предыдущие инциденты в цепочке поставок NPM. Вместо прямого воздействия на цифровые активы, это самовоспроизводящееся вредоносное ПО функционирует как сборщик учетных данных, систематически похищая ключи кошельков, API-токены и секреты аутентификации с заражённых систем разработки. Каждое обнаружение проходило проверку для исключения ложных срабатываний, согласно раскрытию исследователя Чарли Эриксена в социальных сетях.

Масштаб остаётся тревожным. Компания кибербезопасности Wiz выявила примерно 25 000 скомпрометированных репозиториев, принадлежащих около 350 различным пользователям, при этом новые заражения происходят с частотой 1 000 новых репозиториев каждые полчаса. Эта автономная распространённость отличает текущую угрозу от инцидента в сентябре, когда злоумышленники вручную извлекли $50 миллион криптовалюты, прежде чем перейти к следующему этапу.

Инфраструктура криптовалют под угрозой

Как минимум десять пакетов, обслуживающих блокчейн-индустрию, стали жертвами, преимущественно связанных с инфраструктурой Ethereum Name Service (ENS). В пострадавшую экосистему входят широко распространённые библиотеки, такие как:

• content-hash: примерно 36 000 загрузок в неделю
• address-encoder: свыше 37 500 загрузок в неделю
• ensjs, ens-validation, ethereum-ens, ens-contracts: все скомпрометированы

Помимо инструментов, связанных с ENS, атака достигла crypto-addr-codec — автономного криптографического утилита, который обеспечивает почти 35 000 загрузок в неделю. Эти пакеты служат базовыми зависимостями для сотен downstream-проектов, что увеличивает риск экспозиции по всему сообществу разработчиков.

Оценка более широкого воздействия

Уязвимость распространяется не только на криптовалютные приложения. Среди заметных жертв — платформы автоматизации предприятий, такие как Zapier, где некоторые пострадавшие пакеты получают более 40 000 загрузок в неделю. Некоторые скомпрометированные библиотеки сообщают о 1,5 миллионах загрузок в неделю, что указывает на потенциальное воздействие, затрагивающее тысячи конечных приложений.

Эриксен охарактеризовал масштаб инцидента как «масштабный», при этом продолжаются расследования для определения полного объёма воздействия. Немедленные рекомендации от специалистов по безопасности включают проведение комплексных аудитов любой среды разработки, использующей инфраструктуру npm, а также срочную ротацию учетных данных и меры по устранению уязвимостей цепочки поставок.