مینی شای-هولود بسته‌های مخرب AntV npm را از طریق حساب نگهدارنده به خطر افتاده منتشر می‌کند

محققان امنیت سایبری یک کمپین جدید حمله به زنجیره تأمین نرم‌افزار (software supply chain attack) را کشف کرده‌اند که بخشی از موج مداوم حملات «Mini Shai-Hulud» است و بسته‌های متعددی از اکوسیستم npm مرتبط با @antv را به خطر انداخته است. این حمله بسته‌هایی نظیر @antv/g2، @antv/g6، @antv/l7 و همچنین echarts-for-react با حدود ۱.۱ میلیون بارگیری هفتگی را تحت تأثیر قرار داده است. مهاجم با سوءاستفاده از حساب‌های نگهدارنده (maintainer) به خطر افتاده، در مجموع ۶۳۹ نسخه مخرب در ۳۲۳ بسته منتشر کرده است. بدافزار مذکور قادر به سرقت بیش از ۲۰ نوع اعتبارنامه از جمله AWS، Google Cloud، Azure، GitHub، SSH و Kubernetes بوده و داده‌های جمع‌آوری‌شده را رمزگذاری و به دامنه‌ای خارجی ارسال می‌کند.

خطرناک‌ترین جنبه این کمپین، انتشار عمومی کد منبع کامل آن توسط گروه تهدید «TeamPCP» در قالب یک مسابقه حمله به زنجیره تأمین در BreachForums است که موانع ورود برای سایر عوامل مخرب را به شدت کاهش داده است. این کمپین از تکنیک‌های پیشرفته‌ای چون جعل منشأ (provenance forgery) از طریق Sigstore و سوءاستفاده از توکن‌های OIDC بهره می‌برد تا نسخه‌های مخرب را از نسخه‌های قانونی غیرقابل تشخیص کند. تاکنون بیش از ۲۵۰۰ مخزن GitHub حاوی نشانگرهای این بدافزار شناسایی شده‌اند. به کاربران آسیب‌دیده توصیه می‌شود اعتبارنامه‌های خود را تغییر دهند، احراز هویت دو مرحله‌ای (2FA) را فعال کنند و به نسخه‌های امن بسته‌ها مهاجرت نمایند.