حمله Hades به PyPI: ۱۹ بسته آلوده برای اجرای خودکار سارق اعتبارنامه Bun

موج جدیدی از حملات زنجیره تأمین (supply chain) با نام «هادس» (Hades) شناسایی شده که شاخه‌ای از کمپین‌های پیشین «شای‌هولود» (Shai-Hulud) و «میاسما» (Miasma) به شمار می‌رود. در این کمپین، ۳۷ بسته مخرب در قالب ۱۹ پکیج در مخزن PyPI منتشر شده‌اند. بر اساس تحلیل شرکت امنیتی Socket، بسته‌های آلوده حاوی فایلی با پسوند ‎*-setup.pth هستند که هنگام راه‌اندازی پایتون به‌صورت خودکار اجرا می‌شوند، محیط اجرایی جاوااسکریپت «بان» (Bun JavaScript runtime) را دانلود کرده و یک پیلود مبهم‌سازی‌شده (obfuscated payload) به نام ‎_index.js را اجرا می‌کنند. این بدافزار قادر است اطلاعات حساس توسعه‌دهندگان از جمله توکن‌های GitHub، npm، PyPI، AWS، Azure، GCP، Kubernetes، کلیدهای SSH، تاریخچه شل و فایل‌های پیکربندی را سرقت کند.

کمپین هادس علاوه بر روش‌های پیشین، از تکنیک‌های جدیدی نیز بهره می‌برد؛ از جمله تزریق دستورالعمل متنی (prompt injection) برای فریب ابزارهای تحلیل مبتنی بر هوش مصنوعی (LLM-based tools) به منظور طبقه‌بندی بسته‌های مخرب به‌عنوان ایمن، گسترش جانبی (lateral movement) از طریق SSH، هدف قرار دادن دستیارهای هوش مصنوعی نظیر Claude، Copilot و Gemini، و نصب سرویس پس‌زمینه‌ای که در صورت لغو توکن GitHub، تمام داده‌های سیستم را پاک می‌کند. همچنین این کمپین برای اولین بار دارای ابزارهای خواندن حافظه فرآیند (memory scraper) برای سیستم‌عامل‌های macOS و ویندوز است. شرکت‌های امنیتی Snyk و Cloudsmith هشدار داده‌اند که این حملات نشان می‌دهند داشتن کلیدهای امضاشده و حساب‌های کاربری احراز هویت‌شده دیگر تضمین مطلقی برای امنیت زنجیره تأمین نرم‌افزار نیستند.