npm-mask infekterar 444 paket med 2 miljarder månatliga nedladdningar

En ny npm-mask har infekterat minst 444 mjukvarupaket och över 2 000 paketversioner, vilket utsätter applikationer med sammanlagt mer än två miljarder månatliga installationer för risk.

Skadlig kod sprids via stulna utvecklaruppgifter och infekterar automatiskt fler paket. Säkerhetsforskare varnar för att drabbade organisationer bör utgå från att deras system och hemligheter kan ha exponerats.

Molnsäkerhetsföretaget Wiz uppger att attacken spreds till en stor del av ekosystemet för öppen källkod på mindre än 24 timmar. Händelsen började efter att angripare komprometterade GitHub-kontot till utvecklaren Jared Wray den 4 augusti.

Wray underhåller keyv och cacheable, två flitigt använda projekt med öppen källkod för JavaScript-baserad datahantering och cachelagring.

Kapat utvecklarkonto startar omfattande npm-mask

Den första kända skadliga versionen var keyv version 6.0.0. Bara det paketet har omkring 604 miljoner månatliga nedladdningar.

Angriparna följde snabbt upp med infekterade versioner av andra populära paket, däribland cacheable, flat-cache och file-entry-cache. Flat-cache och file-entry-cache har cirka 565 respektive 557 miljoner månatliga nedladdningar.

När de skadliga paketen installeras eller uppdateras kan de helt kompromettera en utvecklares system. Skadlig kod stjäl autentiseringsuppgifter från .env-filer, npm- och GitHub-token, AWS- och Kubernetes-hemligheter, SSH-nycklar, VPN-konfigurationer och över 200 andra typer av autentiseringsuppgifter.

Masken använder sedan stulna publiceringstoken för att infektera paket som ägs av andra komprometterade utvecklare.

Aikido uppger att företaget har observerat aktiv spridning inom communityn som påverkar fler utvecklare, paket och större organisationer.

Skadlig kod använder preinstall-hook för att spridas

StepSecurity uppger att alla infekterade versioner använder samma infektionsteknik. En preinstall-dropper laddar ned den legitima JavaScript-runtime-miljön Bun och startar därefter en obfuskerad nyttolast i ett andra steg på 710 KB.

Nyttolasten stjäl autentiseringsuppgifter, publicerar fler skadliga paket och modifierar AI-utvecklingsverktyg.

Forskarna identifierade skadlig kod som en vidareutvecklad efterföljare till Shai-Hulud 2.0, en av flera npm-maskar som har riktat in sig på ekosystemet i år. Den skadliga koden innehåller enligt uppgift markörer från tidigare Shai-Hulud-kampanjer och skapar offentliga GitHub-repositoriebeskrivningar med texten: ”Shai-Hulud: Here We Go Again.”

Microsoft uppger att skadlig kod kan identifiera paket som är tillgängliga för ett komprometterat npm-konto, ladda ned deras senaste tarball-filer, injicera skadlig kod och en setup-loader, lägga till en preinstall-hook, höja patchversionsnumret och publicera det modifierade paketet på nytt.

Nya funktioner riktar in sig på AI-verktyg och kryptoplånböcker

Den senaste npm-masken skapar också beständighet genom att modifiera konfigurationsfiler för Claude och Visual Studio Code i infekterade kodarkiv.

Den hämtar kommando- och kontrollservrarnas domäner från Ethereum-blockkedjan, vilket kan göra det möjligt för angriparna att ändra sin infrastruktur utan att uppdatera själva skadliga koden. Forskarna fann också att den riktar in sig på 70 procent fler källor till autentiseringsuppgifter än tidigare varianter.

Nya mål omfattar Claude, OpenAI, Codex, Cursor, Gemini samt kryptoplånböcker kopplade till Foundry, Solana och Monero.

Wiz uppger att skadlig kod även innehåller en uppdaterad så kallad dead-man’s switch som kan aktiveras selektivt utifrån ett svar från dess kommando- och kontrollserver.

Säkerhetsföretag rekommenderar att drabbade utvecklare och organisationer omedelbart byter ut alla autentiseringsuppgifter, granskar kodarkiv och publicerade paket efter tecken på kompromettering, rensar infekterade system och inför starkare skydd mot attacker mot mjukvaruleveranskedjan.

Den fulla omfattningen av incidenten är fortfarande oklar. Eftersom masken sprids via utvecklares autentiseringsuppgifter varnar forskare för att tusentals konton redan kan vara komprometterade.