Главная страница » Индикаторы компрометации
0
11 месяцев
Индикаторы компрометации

Вторая волна червя Shai-Hulud поразила более 600 пакетов npm

Вторая волна червя Shai-Hulud поразила более 600 пакетов npm

Экосистема npm столкнулась с новой масштабной угрозой - второй волной самораспространяющегося червя Shai-Hulud, который уже компрометировал 605 пакетов с совокупным числом загрузок свыше 100 миллионов. Особую опасность представляет пакет @asyncapi/specs, который считается "нулевым пациентом" этой атаки и еженедельно скачивается более 1,4 миллиона раз.

Описание

Угроза была впервые обнаружена исследователями RL в сентябре, но теперь злоумышленники значительно усовершенствовали свою методику. Новые компрометированные версии пакетов содержат два дополнительных JavaScript-файла - setup_bun.js и bun_environment.js. Критически важно, что исполнение вредоносного загрузчика активируется через preinstall-скрипт в файле package.json, что делает атаку практически незаметной для обычного пользователя.

Механизм распространения демонстрирует высокую эффективность. После заражения одного пакета червь получает возможность автоматически распространяться на другие пакеты, которые поддерживает тот же автор. Более того, в новой версии под названием "Sha1-Hulud: The Second Coming" появилась функция уничтожения данных - в определенных условиях malware удаляет пользовательские папки с информацией.

Особую тревогу вызывает масштаб эксфильтрации данных. Исследователи идентифицировали более 27 000 репозиториев GitHub, созданных malware для хранения похищенной информации. Эти репозитории имеют случайно сгенерированные названия и предназначены для сбора секретов облачных служб с компрометированных систем.

Для выявления заражения специалисты рекомендуют разработчикам проверить свои учетные записи GitHub на наличие репозиториев с пометкой "Sha1-Hulud: The Second Coming". Одновременно система RL Spectra Assure Community уже детектирует эту угрозу через политику нарушения TH15502, которая отслеживает файлы с поведением, характерным для вредоносных пакетов npm.

Ключевой рекомендацией для всех разработческих команд является тщательный пересмотр всех обновлений зависимостей за последние 12 часов. Крайне важно отключить автоматическое обновление зависимостей без предварительной проверки, поскольку именно этот механизм используется для распространения угрозы.

Эксперты по кибербезопасности продолжают мониторить ситуацию и предупреждают, что атака может развиваться дальше. Учитывая популярность затронутых пакетов, последствия могут затронуть тысячи коммерческих и open-source проектов по всему миру. Особую опасность представляет комбинация функций распространения, сбора данных и уничтожения информации, что делает эту угрозу одной из наиболее серьезных в истории экосистемы npm.

В условиях растущей сложности кибератак специалисты призывают организации пересмотреть свои подходы к безопасности цепочки поставок программного обеспечения. Регулярный аудит зависимостей, строгий контроль обновлений и использование специализированных инструментов безопасности становятся не просто рекомендацией, а необходимостью для защиты от современных угроз.

Индикаторы компрометации

Сдаётся рекламное место
Комментарии: 0
Похожие записи
0
15.07.2026
Индикаторы компрометации

Компрометация разработчиков Red Hat привела к серийной атаке на цепочку поставок

Компрометация разработчиков Red Hat привела к серийной атаке на цепочку поставок
Программное обеспечение сегодня собирается из тысяч готовых компонентов. Каждый из них потенциально может стать точкой входа для злоумышленников. Новый инцидент, получивший название Miasma, показал, как
0
27.07.2026
Индикаторы компрометации

Новый вариант вредоносного ПО Mini Shai-Hulud атакует разработчиков через npm и IDE-инструменты

Атака на цепочку поставок NPM
В ходе мониторинга цепочки поставок npm выявлен новый образец вредоносного ПО семейства Mini Shai-Hulud, связанного с группировкой TeamPcp. Этот вариант стал очередной итерацией давно известной кампании, направленной на разработчиков.
0
05.10.2023
Индикаторы компрометации

Typosquatting Campaign IOCs

Typosquatting Campaign IOCs
Исследователи ReversingLabs обнаружили новую вредоносную атаку на платформу npm. Кампания "typosquatting" впервые появилась в августе и распространяла вредоносный пакет node-hide-console-windows, который
0
07.02.2025
Индикаторы компрометации

Вредоносные ML-модели обнаружены на платформе Hugging Face

Вредоносные ML-модели обнаружены на платформе Hugging Face
Платформа Hugging Face, изначально созданная для совместной работы и обмена проектами машинного обучения (ML), стала объектом атаки злоумышленников, которые используют новый метод распространения вредоносного ПО через файлы сериализации Pickle.