IronWorm و نسخه جدید کرم Miasma در حملات زنجیره تامین به npm ضربه زدند

چندین حمله زنجیره تأمین نرم‌افزاری (software supply chain attack) به اکوسیستم npm ضربه زده است. شرکت امنیتی JFrog از کشف بدافزاری با نام کد IronWorm خبر داده که از طریق بیش از ۵۰ بسته (package) مخرب در رجیستری npm منتشر شده است. این بدافزار مبتنی بر زبان Rust، اطلاعات حساس توسعه‌دهندگان از جمله اعتبارنامه‌های (credentials) سرویس‌هایی نظیر AWS، Docker، Kubernetes، OpenAI، Anthropic و کیف پول‌های ارز دیجیتال را سرقت می‌کند، پشت یک روت‌کیت (rootkit) سطح هسته مبتنی بر eBPF پنهان می‌شود و از طریق شبکه Tor با اپراتور خود ارتباط برقرار می‌کند. این بدافزار با سوءاستفاده از اعتبارنامه‌های دزدیده‌شده، کدهای مخرب را به مخازن GitHub تزریق کرده و به‌صورت خودانتشار (self-propagating) عمل می‌کند.

همزمان، شرکت‌های Endor Labs و StepSecurity از یک کمپین مجزا پرده برداشتند که در آن ۵۷ بسته npm در بیش از ۲۸۶ نسخه مخرب آلوده شده‌اند تا نسخه جدیدی از کرم Miasma را توزیع کنند. این کمپین از تکنیکی موسوم به «Phantom Gyp» بهره می‌برد که به‌جای اسکریپت‌های نصب متداول، از فایل binding.gyp برای دور زدن ابزارهای امنیتی استفاده می‌کند. بدافزار Miasma که مشتق از کرم Shai-Hulud ارزیابی می‌شود، روی سیستم‌عامل‌های Linux، macOS و Windows اجرا می‌شود و داده‌های سرقتی را به مخازن عمومی GitHub ارسال می‌کند. محققان هشدار داده‌اند که عاملان تهدید از GitHub به‌عنوان یک زیرساخت فرمان و کنترل (C2) تطبیق‌پذیر استفاده می‌کنند که اکثر ابزارهای امنیتی آن را مشکوک تلقی نمی‌کنند. به توسعه‌دهندگانی که بسته‌های آلوده را نصب کرده‌اند توصیه شده اعتبارنامه‌های خود را فوری تغییر دهند.