بسته محبوب npm با نام node-ipc برای سرقت اطلاعات کاربری به خطر افتاد

هکرها با تزریق بدافزار سرقت اطلاعات (credential-stealing malware) به نسخه‌های جدید بسته‌ی محبوب node-ipc در مخزن npm، یک حمله‌ی زنجیره تأمین (supply chain attack) جدید را ترتیب داده‌اند. سه نسخه‌ی مخرب شناسایی‌شده توسط شرکت‌های امنیتی Socket، Ox Security و Upwind عبارتند از: 9.1.6، 9.2.3 و 12.0.1. این بسته که هفتگی بیش از ۶۹۰ هزار بار دانلود می‌شود، به نظر می‌رسد از طریق به خطر انداختن حساب یک نگهدارنده‌ی غیرفعال به نام «atiertant» مورد نفوذ قرار گرفته است. کد مخرب درون نقطه‌ی ورودی CommonJS پنهان شده و به‌محض بارگذاری برنامه‌ها اجرا می‌شود.

این بدافزار که به‌شدت مبهم‌سازی (obfuscated) شده، اطلاعات حساسی نظیر اعتبارنامه‌های ابری (cloud credentials) از سرویس‌هایی مانند AWS، Azure و GCP، کلیدهای SSH، توکن‌های GitHub و GitLab، فایل‌های env. و رمزهای پایگاه داده، و همچنین فایل‌های Keychain سیستم‌عامل macOS را جمع‌آوری می‌کند. ویژگی قابل توجه این حمله، استفاده از پرس‌وجوهای DNS TXT به‌جای ترافیک معمول HTTP برای استخراج داده‌ها (data exfiltration) است که به پنهان ماندن ترافیک مخرب در میان فعالیت عادی DNS کمک می‌کند. توسعه‌دهندگان آسیب‌دیده باید فوراً نسخه‌های مخرب را حذف کرده، اعتبارنامه‌های افشاشده را تغییر دهند و فایل‌های lockfile و حافظه‌ی پنهان npm را بررسی کنند.