Обширна атака JavaScript NPM поширює самовідтворюваний шкідливий софт по всій криптоекосистемі

Широкомасштабне компрометування ланцюга поставок JavaScript проникло у понад 400 програмних пакетів у різних галузях, при цьому дослідники кібербезпеки вказують на глибоку уразливість у криптовалютній інфраструктурі. Виявлення Aikido Security демонструє тривожну закономірність: зловмисник розгорнув Shai Hulud, складне самовідтворюване шкідливе програмне забезпечення, яке автономно поширюється через середовища розробників і витягує чутливі облікові дані.

Обсяг атаки та технічний механізм

Шкідливе програмне забезпечення працює інакше, ніж попередні інциденти у ланцюзі поставок NPM. Замість цілеспрямованої атаки на цифрові активи, це самовідтворюване шкідливе ПО функціонує як збирач облікових даних, систематично краде ключі гаманців, API-токени та секрети автентифікації з інфікованих систем розробки. Кожне виявлення проходило перевірку для виключення хибних спрацьовувань, згідно з повідомленням дослідника Чарлі Еріксена у соціальних мережах.

Масштаб залишається тривожним. Кібербезпекова компанія Wiz ідентифікувала приблизно 25 000 зламаних репозиторіїв, що належать близько 350 різним користувачам, причому нові інфекції виникають із швидкістю 1 000 нових репозиторіїв кожні півгодини. Це автономне поширення відрізняє поточну загрозу від інциденту у вересні, коли зловмисники вручну витягнули $50 мільйон у криптовалюті, перш ніж перейти далі.

Інфраструктура криптовалюти під загрозою

Щонайменше десять пакетів, що обслуговують індустрію блокчейну, стали жертвами, переважно пов’язаних із Ethereum Name Service (ENS) інфраструктурою. Постраждала екосистема включає широко розповсюджені бібліотеки, такі як:

• content-hash: приблизно 36 000 завантажень на тиждень
• address-encoder: понад 37 500 завантажень на тиждень
• ensjs, ens-validation, ethereum-ens, ens-contracts: усі зламані

Крім інструментів, специфічних для ENS, атака торкнулася crypto-addr-codec, автономного криптографічного утиліти, яка має майже 35 000 завантажень на тиждень. Ці пакети є базовими залежностями для сотень downstream-проектів, що посилює ризики для спільноти розробників.

Оцінка широти впливу

Компрометація виходить за межі застосувань у криптовалюті. Серед відомих жертв — платформи автоматизації підприємств, такі як Zapier, де деякі з уражених пакетів отримують понад 40 000 завантажень на тиждень. Деякі з зламаних бібліотек мають 1,5 мільйона завантажень щотижня, що свідчить про потенційне ураження тисяч кінцевих застосунків.

Еріксен охарактеризував масштаб інциденту як «масовий», і розслідування триває для визначення повних параметрів впливу. Негайною рекомендацією від дослідників безпеки є проведення всебічних аудитів будь-якого середовища розробки, що використовує npm-інфраструктуру, а також термінова зміна облікових даних і заходи щодо усунення вразливостей у ланцюзі поставок.