Міні черв'як Шай-Хулуд викрадає 323 пакунка npm за 30 хвилин, використовуючи один вкрадений акаунт.

19 травня черв'як Mini Shai-Hulud зламав один з облікових записів підтримки npm і за менше ніж 30 хвилин поширив 639 шкідливих версій через 323 пакети. Зламаний обліковий запис "atool" публікує весь стек візуалізації даних @antv від Alibaba, разом із автономними бібліотеками для крипто-інтерфейсів, DeFi-фронтів і фінансових додатків. Серед найбільш завантажуваних пакетів: size-sensor (4.2 млн раз на тиждень), echarts-for-react (1.1 млн), @antv/scale (2.2 млн) та timeago.js (1.15 млн).

Проекти, що використовують діапазони версій, автоматично переходили на шкідливу версію 3.2.7 при наступній чистій установці. Шкідливе ПЗ краде понад 20 типів облікових даних: ключі AWS, токени Google Cloud і Azure, токени GitHub і npm, SSH-ключі та інші.

Викрадені дані шифруються і надсилаються на сервер управління. Через зламані токени GitHub черв'як створює публічні репозиторії та комітить вкрадену інформацію.

Вже понад 2500 репозиторіїв містять ознаки даної кампанії. Ця кампанія є вже третьою.

Раніше схожі атаки нанесли збитків Trust Wallet у розмірі 8.5 мільйонів доларів.

Репозиторії, в яких були встановлені постраждалі версії, вважаються повністю скомпрометованими. Рекомендується відкликати всі токени доступу, змінити облікові дані для AWS, GitHub, npm та інших постачальників хмарних послуг, реалізувати багатофакторну аутентифікацію та перевірити підозрілу активність у репозиторіях.