Il 19 maggio, il worm Mini Shai-Hulud ha compromesso un account di un manutentore npm e ha diffuso 639 versioni dannose su 323 pacchetti in meno di 30 minuti.
L'account compromesso, "atool" ([email protected]), pubblica l'intera suite di strumenti di visualizzazione dati @antv di Alibaba, insieme a librerie indipendenti utilizzate in dashboard di criptovalute, interfacce DeFi e applicazioni fintech.
I progetti con il maggior traffico sono: size-sensor con 4,2 milioni di download settimanali, echarts-for-react con 1,1 milioni, @antv/scale con 2,2 milioni e timeago.js con 1,15 milioni.
I progetti che utilizzavano intervalli semver come ^3.0.6 per echarts-for-react venivano automaticamente risolti nella versione dannosa 3.2.7 alla successiva installazione pulita. Il manutentore ha chiuso gli avvisi di sicurezza su GitHub entro un'ora, seppellendoli tra i problemi chiusi.
Cosa ruba il carico utile e come persiste
Secondo Socket.dev, il malware raccoglie più di 20 tipi di credenziali: chiavi AWS tramite metadati EC2 ed ECS, token Google Cloud e Azure, token GitHub e npm, chiavi SSH, account di servizio Kubernetes, segreti di HashiCorp Vault, chiavi API di Stripe, stringhe di connessione al database e vault di password locali da 1Password e Bitwarden.
L'esfiltrazione dei dati avviene attraverso due canali. Le credenziali rubate vengono crittografate con AES-256-GCM e inviate a un server di comando e controllo.
Come soluzione di ripiego, il worm utilizza token GitHub compromessi per creare repository pubblici con nomi a tema Dune, come sardaukar-melange-742 o fremen-sandworm-315, per poi caricare i dati rubati come file. StepSecurity ha segnalato che oltre 2.500 repository GitHub contengono già indicatori collegati alla campagna.
Inoltre, il worm utilizza la crittografia sui dati rubati nelle tracce di OpenTelemetry trasferite tramite HTTPS. Sui sistemi basati su Linux, installa un servizio utente systemd in grado di recuperare istruzioni da GitHub anche dopo la rimozione del pacchetto.
Il worm modifica i file di configurazione .vscode e .claude per garantire la riattivazione negli ambienti di sviluppo.
La campagna continua a crescere
Questa è la terza ondata. Come riportato da Cryptopolitan a gennaio, la variante originale Shai-Hulud ha colpito i pacchetti npm di Trust Wallet causando perdite per 8,5 milioni di dollari. La seconda ondata ha colpito Mistral AI, TanStack, UiPath e Guardrails AI l'11 maggio.
Socket è riuscita a identificare un totale di 1.055 versioni compromesse all'interno di 502 pacchetti distinti tramite npm, PyPI e Composer.
Secondo i ricercatori di Datadog, il gruppo di hacker responsabile della campagna, TeamPCP, ha promosso i propri strumenti su forum clandestini di hacking. Sono emerse versioni simili che utilizzano server di comando e controllo diversi, rendendo difficile l'attribuzione.
Il CEO di SlowMist, 23pds, ha affermato che qualsiasi ambiente in cui siano state installate le versioni interessate dovrebbe essere considerato completamente compromesso.
Tra le azioni consigliate figurano la revoca di tutti i token di accesso, la rotazione delle credenziali per AWS, GitHub, npm e i provider cloud, l'implementazione dell'autenticazione a più fattori per la pubblicazione degli account e la revisione di qualsiasi attività sospetta all'interno dei repository.
Non limitarti a leggere le notizie sulle criptovalute. Cerca di capirle. Iscriviti alla nostra newsletter. È gratis .