حمله جدید زنجیره تامین npm برای سرقت توکن‌های احراز هویت خود را گسترش می‌دهد

یک حمله زنجیره تأمین (supply chain attack) جدید در اکوسیستم مدیر بسته نود (npm) کشف شده که با هدف سرقت اطلاعات اعتباری توسعه‌دهندگان و گسترش خودکار از طریق بسته‌های آلوده عمل می‌کند. محققان شرکت‌های امنیتی Socket و StepSecurity این تهدید را در ۱۶ بسته منتشرشده از سوی شرکت Namastex Labs شناسایی کردند. کد مخرب تزریق‌شده اطلاعات حساسی نظیر توکن‌ها، کلیدهای API، کلیدهای SSH، اطلاعات اعتباری سرویس‌های ابری، سیستم‌های CI/CD، و تنظیمات Kubernetes را جمع‌آوری می‌کند. همچنین این بدافزار تلاش می‌کند داده‌های ذخیره‌شده در مرورگرهای Chrome و Firefox از جمله کیف پول‌های رمزارزی مانند MetaMask، Exodus و Phantom را استخراج کند.

StepSecurity این بدافزار را یک «کرم زنجیره تأمین (supply-chain worm)» توصیف کرده که قادر است توکن‌های انتشار npm را یافته و خود را در تمام بسته‌هایی که آن توکن مجاز به انتشار آن‌هاست تزریق کند و به این ترتیب آلودگی را به‌صورت بازگشتی گسترش دهد. نخستین نسخه‌های مخرب در ۲۱ آوریل منتشر شدند و این حمله به‌گونه‌ای طراحی شده که در صورت یافتن اطلاعات اعتباری PyPI، روش مشابهی را برای بسته‌های پایتون نیز اعمال کند و آن را به یک حمله چندبوم‌سازه‌ای (multi-ecosystem) تبدیل نماید. به توسعه‌دهندگان توصیه می‌شود فوراً تمام نسخه‌های آلوده را حذف، تمام اطلاعات اعتباری احتمالاً افشاشده را تغییر دهند و محیط‌های توسعه و خطوط CI/CD خود را بررسی کنند.