Реестр пакетов NPM подвергся масштабной атаке на цепочку поставок, в результате которой было скомпрометировано более 300 компонентов. Согласно отчету Murphy Security, инцидент затронул свыше 20 000 репозиториев на GitHub, создав серьезную угрозу для множества разработчиков и проектов по всему миру.
Механизм и цели атаки
Предполагается, что данная атака является усовершенствованной версией кампании, известной как Shai-Hulud. Злоумышленники использовали вредоносные скрипты, замаскированные под файлы конфигурации менеджера пакетов Bun. После выполнения эти скрипты активировали легитимный инструмент TruffleHog для сканирования локальной среды разработки. Основной целью было хищение чувствительных данных, включая токены доступа NPM, учетные данные облачных сервисов (AWS, GCP, Azure) и секреты GitHub.
Получив доступ к учетным данным, злоумышленники публиковали поддельные версии скомпрометированных пакетов. Это приводило к дальнейшему распространению вредоносного ПО по цепочке поставок, поскольку разработчики, ничего не подозревая, загружали и использовали зараженные компоненты в своих проектах.
Масштаб и последствия
Последствия атаки оказались весьма значительными из-за популярности затронутых пакетов. Среди скомпрометированных оказались компоненты, активно используемые в экосистемах таких крупных сервисов, как Zapier, Postman и PostHog.
Особое внимание привлекает компонент @zapier/zapier-sdk, который имеет более 2,6 миллиона загрузок в неделю. Заражение столь востребованного пакета демонстрирует высокий уровень опасности и широкий охват данной кибератаки. Инцидент подчеркивает уязвимость современных процессов разработки программного обеспечения, которые сильно зависят от сторонних библиотек.
Вредоносная кампания в очередной раз высветила риски, связанные с безопасностью цепочек поставок в IT-индустрии. Разработчикам и компаниям необходимо уделять повышенное внимание проверке зависимостей и внедрению дополнительных мер безопасности для защиты своих проектов от подобных угроз.