Le migliori analisi sul mondo delle criptovalute, direttamente nella tua casella di posta.
Il worm Mini Shai-Hulud dirotta 323 pacchetti npm in meno di 30 minuti attraverso un singolo account rubato
- Il worm Mini Shai-Hulud ha compromesso 323 pacchetti npm tramite l'account "atool" violato il 19 maggio, pubblicando 639 versioni dannose.
- Tra i pacchetti interessati figurano echarts-for-react (1,1 milioni di download settimanali), size-sensor (4,2 milioni) e l'intero ecosistema di visualizzazione dati @antv di Alibaba.
- La campagna su larga scala ha ormai raggiunto 1.055 versioni in 502 pacchetti distribuiti tra i registri npm, PyPI e Composer.
Il 19 maggio, il worm Mini Shai-Hulud ha compromesso un account di un manutentore npm e ha diffuso 639 versioni dannose su 323 pacchetti in meno di 30 minuti.
L'account compromesso, "atool" ([email protected]), pubblica l'intera suite di strumenti di visualizzazione dati @antv di Alibaba, insieme a librerie indipendenti utilizzate in dashboard di criptovalute, DeFi interfacce
I progetti con il maggior traffico sono: size-sensor con 4,2 milioni di download settimanali, echarts-for-react con 1,1 milioni, @antv/scale con 2,2 milioni e timeago.js con 1,15 milioni.
I progetti che utilizzavano intervalli semver come ^3.0.6 per echarts-for-react venivano automaticamente risolti nella versione dannosa 3.2.7 alla successiva installazione pulita. Il manutentore ha chiuso gli avvisi di sicurezza su GitHub entro un'ora, seppellendoli tra i problemi chiusi.
Cosa ruba il carico utile e come persiste
Secondo Socket.dev, il malware raccoglie più di 20 tipi dident: chiavi AWS tramite metadati EC2 ed ECS, token Google Cloud e Azure, token GitHub e npm, chiavi SSH, account di servizio Kubernetes, segreti di HashiCorp Vault, chiavi API di Stripe, stringhe di connessione al database e vault di password locali da 1Password e Bitwarden.
L'esfiltrazione dei dati avviene attraverso due canali. Ledentrubate vengono crittografate con AES-256-GCM e inviate a un server di comando e controllo.
Come soluzione di ripiego, il worm utilizza token GitHub compromessi per creare repository pubblici con nomi a tema Dune, come sardaukar-melange-742 o fremen-sandworm-315, per poi caricare i dati rubati come file. StepSecurity ha segnalato che oltre 2.500 repository GitHub contengono già indicatori collegati alla campagna.
Inoltre, il worm utilizza la crittografia sui dati rubati nelle tracdi OpenTelemetry trasferite tramite HTTPS. Sui sistemi basati su Linux, installa un servizio utente systemd in grado di recuperare istruzioni da GitHub anche dopo la rimozione del pacchetto.
Il worm modifica i file di configurazione .vscode e .claude per garantire la riattivazione negli ambienti di sviluppo.
La campagna continua a crescere
Questa è la terza ondata. Come Cryptopolitan riportato a gennaio, la variante originale Shai-Hulud ha colpito i pacchetti npm di Trust Wallet causando perdite per 8,5 milioni di dollari. La seconda ondata ha colpito Mistral AI, TanStack, UiPath e Guardrails AI l'11 maggio.
Socket è riuscito adentin totale 1.055 versioni compromesse all'interno di 502 pacchetti distinti tramite npm, PyPI e Composer.
Secondo i ricercatori di Datadog, il gruppo di hacker responsabile della campagna, TeamPCP, ha promosso i propri strumenti su forum clandestini di hacking. Sono emerse versioni simili che utilizzano server di comando e controllo diversi, rendendo difficile l'attribuzione.
Il CEO di SlowMist, 23pds, ha affermato che qualsiasi ambiente in cui siano state installate le versioni interessate dovrebbe essere considerato completamente compromesso.
Tra le azioni consigliate figurano la revoca di tutti i token di accesso, la rotazione delledentper AWS, GitHub, npm e i provider cloud, l'implementazione dell'autenticazione a più fattori per la pubblicazione degli account e la revisione di qualsiasi attività sospetta all'interno dei repository.
Le menti più brillanti del mondo delle criptovalute leggono già la nostra newsletter. Vuoi partecipare? Unisciti a loro.
Domande frequenti
Cos'è il Mini Shai-Hulud?
Mini Shai-Hulud è una campagna malware autoreplicante attribuita a un gruppo motivato da interessi economici chiamato TeamPCP, che si diffonde tramite pacchetti npm compromessi, rubando ledentdegli sviluppatori e utilizzandole per pubblicare ulteriori versioni infette dei pacchetti sottodentdi manutentori legittimi.
Quali pacchetti npm sono stati interessati?
L'ondata di attacchi del 19 maggio ha compromesso 323 pacchetti e 639 versioni legate all'account npm "atool", tra cui echarts-for-react (circa 1,1 milioni di download settimanali), la suite di visualizzazione dati @antv di Alibaba, timeago.js e size-sensor, secondo le ricerche di SafeDep e Socket.
Cosa dovrebbero fare gli sviluppatori che hanno installato un pacchetto interessato?
I ricercatori in materia di sicurezza raccomandano di trattare la macchina o il runner CI come completamente compromesso: ruotare tutte ledent(AWS, GitHub, npm, SSH, database), abilitare l'autenticazione a due fattori, verificare GitHub alla ricerca di repository non autorizzati che corrispondano al modello di denominazione della campagna e rimuovere le backdoor persistenti dai file di configurazione degli strumenti per sviluppatori, come `.vscode/tasks.json` e `.claude/settings.json`.
Disclaimer. Le informazioni fornite non costituiscono consulenza di trading. Cryptopolitan/ non si assume alcuna responsabilità per gli investimenti effettuati sulla base delle informazioni fornite in questa pagina. Consigliamotronvivamente di effettuare ricerche indipendentident di consultare un professionista qualificato prima di prendere qualsiasi decisione di investimento.
Micah Abiodun
Micah Abiodun sfrutta al meglio la sua laurea magistrale in Ingegneria e Gestione Ambientale (MSc) conseguita presso l'Università di Tecnologia di Tallinn (TalTech) per perfezionare i contenuti e le notizie sulle previsioni di prezzo di Cryptopolitan. Giunto al suo settimo anno nel settore dei media crypto, si occupa delle principali criptovalute, altcoin, DeFi, stablecoin, macro tendenze e tecnologie emergenti
CORSO
- Quali criptovalute possono farti guadagnare
- Come rafforzare la sicurezza del tuo portafoglio digitale (e quali sono quelli davvero validi)
- Strategie di investimento poco conosciute utilizzate dai professionisti
- Come iniziare a investire in criptovalute (quali piattaforme di scambio utilizzare, le migliori criptovalute da acquistare, ecc.)