محققان نسخه اصلاح‌شده کرم Shai-Hulud را در حال تست بارگذاری در رجیستری npm کشف کردند

محققان امنیت سایبری جزئیات سویه جدیدی از بدافزار Shai Hulud را در مخزن npm افشا کرده‌اند که با تغییرات جزئی نسبت به موج قبلی ماه گذشته منتشر شده است. بسته npm با نام “@vietmoney/react-big-calendar” که در مارس ۲۰۲۱ بارگذاری شده بود، در ۲۸ دسامبر ۲۰۲۵ برای نخستین بار به‌روزرسانی شد و تاکنون ۶۹۸ بار دانلود شده است. شرکت Aikido که این بسته را کشف کرد، اعلام کرد که شواهد گسترش یا آلودگی قابل توجهی مشاهده نشده و احتمالاً مهاجمان در حال آزمایش بارگذار خود بوده‌اند. این حمله که نخستین بار در سپتامبر ۲۰۲۵ شناسایی شد، قادر است با سوءاستفاده از توکن‌های npm، ۱۰۰ بسته پرکاربرد دیگر مرتبط با توسعه‌دهنده را آلوده کرده و تغییرات مخرب را در آنها اعمال کند و به‌صورت کرم‌گونه (worm-like) مقیاس حمله زنجیره تامین را گسترش دهد.

در همین حال، یک بسته مخرب Maven با نام “org.fasterxml.jackson.core/jackson-databind” کشف شد که خود را به‌عنوان کتابخانه معتبر Jackson JSON جا می‌زند اما حاوی زنجیره حمله چندمرحله‌ای است که Cobalt Strike Beacon را تحویل می‌دهد. این بسته که از تاریخ ۱۷ دسامبر ۲۰۲۵ با ثبت دامنه جعلی fasterxml[.]org آغاز شده، از یک نقطه کور خاص سوءاستفاده می‌کند: تعویض پیشوند TLD در قرارداد فضای نام معکوس جاوا، جایی که بسته مخرب از “org.fasterxml.jackson.core” به‌جای “com.fasterxml.jackson.core” معتبر استفاده می‌کند. Aikido توصیه کرده که نگهدارندگان Maven Central بسته‌هایی با پیشوندهای مشابه را برای بررسی علامت‌گذاری کرده و فضاهای نام با ارزش بالا را تحت نظارت بیشتری قرار دهند.