موج جدید بدافزار Shai-Hulud بیش از ۶۰۰ بسته npm را به خطر انداخت

بیش از ۶۳۹ نسخه مخرب در قالب ۳۲۳ بسته منحصربه‌فرد در مخزن مدیریت بسته نود (npm) در جریان موج جدیدی از کمپین زنجیره تأمین (supply-chain) موسوم به «شای‌هولود» (Shai-Hulud) منتشر شد. بیشتر بسته‌های آلوده به اکوسیستم @antv تعلق دارند که شامل کتابخانه‌هایی برای نمودارسازی، تجسم گراف و نقشه‌برداری می‌شود؛ اما بسته‌های پرکاربرد خارج از این فضای نام نیز به خطر افتاده‌اند. بدافزار مورد استفاده، اطلاعات حساس را از محیط‌های توسعه‌دهنده و خطوط یکپارچه‌سازی/تحویل مداوم (CI/CD) سرقت کرده و از طریق شبکه همتا‌به‌همتا (P2P) Session برای دشوارتر کردن شناسایی، استخراج می‌کند. همچنین از گیت‌هاب (GitHub) به‌عنوان مکانیزم پشتیبان برای استخراج داده استفاده شده و اطلاعات دزدیده‌شده در مخازن قربانیان بارگذاری می‌شود.

یکی از ویژگی‌های جدید این نسخه از شای‌هولود، توانایی تولید گواهی‌نامه‌های معتبر تأیید منشأ (Sigstore provenance attestations) از طریق سوءاستفاده از توکن‌های OIDC محیط‌های CI آلوده است؛ به این ترتیب بسته‌های مخرب ممکن است به‌ظاهر دارای امضای معتبر باشند و بررسی‌های استاندارد را با موفقیت پشت سر بگذارند. داده‌های سرقت‌شده با رمزنگاری AES-256-GCM و پوشش RSA-OAEP محافظت می‌شوند تا بازرسی شبکه را دشوارتر کنند. بر اساس گزارش پلتفرم امنیتی Aikido، مهاجم تاکنون بیش از ۲۷۰۰ مخزن سرکش در گیت‌هاب با استفاده از توکن‌های دزدیده‌شده ایجاد کرده است. به توسعه‌دهندگانی که بسته‌های آلوده را نصب کرده‌اند توصیه می‌شود فوراً آن‌ها را حذف و تمام اطلاعات اعتباری (credentials) سیستم‌های آلوده را تغییر دهند.