بسته‌های npm مرتبط با SAP در یک حمله زنجیره تامین برای سرقت اطلاعات به خطر افتادند

محققان امنیت سایبری نسبت به یک کمپین حمله زنجیره تأمین (supply chain attack) جدید هشدار می‌دهند که بسته‌های npm مرتبط با SAP را هدف قرار داده است. این کمپین که خود را «Mini Shai-Hulud» می‌نامد، بسته‌های mbt، @cap-js/db-service، @cap-js/postgres و @cap-js/sqlite را آلوده کرده و نسخه‌های مخرب آن‌ها در ۲۹ آوریل ۲۰۲۶ منتشر شده‌اند. بدافزار مذکور با نصب یک اسکریپت پیش‌نصب (preinstall script)، اقدام به سرقت اعتبارنامه‌های توسعه‌دهندگان، توکن‌های GitHub و npm، اسرار GitHub Actions و داده‌های ابری از AWS، Azure، GCP و Kubernetes می‌کند. داده‌های سرقت‌شده با رمزنگاری AES-256-GCM و RSA-4096 رمزگذاری شده و به مخازن عمومی GitHub در حساب قربانی ارسال می‌شوند؛ تاکنون بیش از ۱۱۰۰ مخزن با این مشخصات شناسایی شده است.

شرکت‌های Wiz، Aikido Security و StepSecurity این کمپین را به عامل تهدید TeamPCP نسبت می‌دهند و تأکید می‌کنند که این حمله برای اولین بار پیکربندی‌های ابزارهای هوش مصنوعی کدنویسی مانند Claude Code و VS Code را به‌عنوان بردار ماندگاری و انتشار بدافزار هدف قرار داده است. همچنین بدافزار قابلیت سرقت رمز عبور از مرورگرهای Chrome، Safari، Edge، Brave و Chromium را دارد که در عملیات‌های قبلی این گروه دیده نشده بود. ریشه حمله به سوءاستفاده از پیکربندی نادرست OIDC trusted publishing در npm بازمی‌گردد که امکان انتشار بسته‌های مخرب از شاخه‌های غیراصلی را فراهم می‌کرد. نگهدارندگان بسته‌ها نسخه‌های امن جدیدی منتشر کرده‌اند و به کاربران توصیه می‌شود فوراً به‌روزرسانی کنند.