محققان امنیت سایبری یک کمپین بدافزاری جدید به نام CanisterSprawl را شناسایی کردهاند که از طریق توکنهای npm سرقتشده توسعهدهندگان، بهصورت کرم خودانتشار (self-propagating worm) در زنجیره تأمین نرمافزار (software supply chain) گسترش مییابد. این بدافزار که توسط شرکتهای Socket و StepSecurity ردیابی شده، در زمان نصب بستههای آلوده فعال میشود و اطلاعات حساسی نظیر کلیدهای SSH، اعتبارنامههای ابری آمازون، گوگل و مایکروسافت، تنظیمات Kubernetes و Docker، و فایلهای محیطی محلی را سرقت میکند. دادههای دزدیدهشده به یک وبهوک HTTPS و یک کانیستر ICP (ICP canister) ارسال میشوند تا زیرساخت در برابر حذف مقاوم بماند. شش بسته npm آلوده شناسایی شدهاند و این بدافزار همچنین دارای منطق انتشار در PyPI است تا محیطهای توسعه بیشتری را آلوده کند.
در کنار این تهدید، شرکت JFrog فاش کرد که نسخههای ۲.۶.۰ تا ۲.۶.۲ بسته پایتونی «xinference» نیز به بدافزار آلوده شدهاند. همچنین بستههای مخرب دیگری در npm و PyPI کشف شدهاند که با جعل هویت ابزارهای Kubernetes، یک پروکسی معکوس و دروازه API سازگار با OpenAI را برای سرقت اطلاعات و سوءاستفاده از مدلهای زبانی بزرگ (LLM) نصب میکنند. علاوه بر این، شرکت Wiz از یک کمپین مبتنی بر هوش مصنوعی با نام prt-scan پرده برداشت که از مارس ۲۰۲۶ با بهرهگیری از آسیبپذیری `pull_request_target` در GitHub Actions، اعتبارنامههای توسعهدهندگان را هدف قرار داده؛ هرچند نرخ موفقیت این حملات کمتر از ۱۰ درصد بوده است.
کلمات کلیدی : بدافزار npm, زنجیره تأمین نرمافزار, کمپین CanisterSprawl, سرقت اعتبارنامه توسعهدهندگان, بستههای مخرب PyPI, آسیبپذیری GitHub Actions
نظر شما چیست؟
خوشحال میشویم نظر شما را بدانیم. نظری بنویسید.