npm Supply Chain Attack Hits @antv: Nalantad Ngayon ang Mga Lihim ng blockchain Dev

Kinokompromiso ng Mini Shai-Hulud npm campaign ang mga @antv packages, na nagta-target sa mga token ng GitHub, AWS key, at CI/CD ng mga developer ng blockchain sa isang coordinated supply chain attack.

Nagsimula ang mga nakakahamak na pag-publish bago mag-2 a.m. UTC noong Mayo 19. Sa oras na ang karamihan sa mga developer sa East Coast ay nagkaroon ng kanilang unang kape, nagawa na ang pinsala.

Ang Socket’s Threat Research team ay sumusubaybay ng isang aktibopag-atake ng npm supply chainpagkompromiso ng mga pakete sa kabuuan ng antv visualization suite. Kinokontrol ng apektadong npm maintainer account, atool, ang malawak na hanay ng data visualization at graphing packages na ginagamit nang husto sa blockchain developer tooling. Kabilang sa mga naka-flag na package: antv/g2, antv/g6, antv/x6, antv/l7, antv/s2, antv/f2, at mga nauugnay na tool sa labas ng namespace ng antv kabilang ang timeago.js, size-sensor, at canvas-nest.js.

Ang echarts-for-react ay nasa gitna ng exposure. Ang package na iyon ay kumukuha ng humigit-kumulang 1.1 milyong lingguhang pag-download. Nag-flag si Socket ng malisyosong bersyon, 3.2.7, bilang kilalang malware, kung saan na-publish ang nakompromisong artifact 19 minuto lang bago matukoy ayon sa sariling data ng registry ng package ng Socket.

639 na Bersyon. Isang Gabi. Nagbibilang pa.

Masikip ang window ng aktibidad. Nagsimula ang mga nakakahamak na publish bandang 01:56 UTC at huminto noong humigit-kumulang 02:56 UTC. Nahuli ng mga sistema ng pagtuklas ng Socket ang karamihan sa mga ito sa loob ng anim hanggang labindalawang minuto ng paglalathala. Ang oras ng pagtuklas ng median ay lumapag sa humigit-kumulang 6.7 minuto, ayon sa panloob na pagsusuri ng kumpanya na nai-post sasocket.dev.

Sa buong kampanya ng Mini Shai-Hulud, nasubaybayan na ngayon ng Socket ang 1,055 nakompromisong bersyon sa 502 natatanging pakete. Ang kampanya ay sumasaklaw sa npm, PyPI, at Composer. npm account para sa halos lahat ng ito: 1,048 na bersyon sa 498 natatanging mga pakete, na may PyPI at Composer na nag-aambag lamang ng kaunti.

Kasama rin sa mga apektadong pakete noong gabing iyon ang mga namespace sa labas ng antv. Ang mga package sa ilalim ng lint-md, openclaw-cn, at starmind ay nakatanggap ng mga nakakahamak na update sa parehong wave. Ang data ng CSV na sinuri ng reporter na ito ay nagpapakita ng mga package tulad ng antv/x6 na bersyon 3.2.7 at 3.3.7, antv/g2 na bersyon 5.5.8 at 5.6.8, antv/g6, antv/g2plot, antv/s2, at dose-dosenang higit pa, lahat ay na-publish sa loob ng parehong isang oras na window.

Pinagmulan:socket.dev.

Ano ang Talagang Ginagawa ng Payload

Ang injected code ay hindi banayad tungkol sa mga layunin nito. Binabago ng root-level na index.js file ang package.json upang patakbuhin ang sarili nito sa oras ng pag-install sa pamamagitan ng preinstall hook: bun run index.js.

Malalim ang mga string obfuscation layer. Gumagamit ang payload ng malaking lookup table, runtime string decoding, at custom na decryptor na nakarehistro sa globalThis bilang fc2edea72. Ang pag-decode nito ay nagpapakita ng exfiltration endpoint:https://t[.]m-kosche[.]com:443/api/public/otel/v1/traces. Nako-compress ang data na nakolekta gamit ang gzip, na-encrypt gamit ang AES-256-GCM, at ang AES key mismo ay nababalot sa RSA-OAEP na may SHA-256 bago ipadala. Ang pagharang sa trapikong iyon mula sa telemetry ng network ay hindi diretso.

Ang payload ay partikular na naghahanap ng mga sikreto sa kapaligiran ng developer. Ang mga token ng GitHub, mga token ng npm, mga kredensyal ng AWS, mga materyales ng account ng serbisyo ng Kubernetes, mga token ng Vault, mga pribadong key ng SSH, mga file sa pagpapatotoo ng Docker, at mga string ng koneksyon sa database ay lalabas lahat sa listahan ng target. Naglalaman din ito ng tahasang lohika para sa 19 na CI/CD platform, kabilang ang GitHub Actions, GitLab CI, CircleCI, Jenkins, Azure DevOps, AWS CodeBuild, Buildkite, Vercel, at Netlify.

Parang shopping cart ang listahang iyon. Hindi isang tool sa pagsubaybay.

GitHub Repositories, Dune Names, at isang Worm na May Mga Ambisyon

Ang isang GitHub fallback exfiltration path ay umiiral para sa mga kaso kung saan ang pangunahing HTTPS endpoint ay naharang. Kung ang payload ay nakakuha ng magagamit na GitHub token, gagawa ito ng repository sa ilalim ng account ng biktima at maglalagay ng ninakaw na data sa isang resulta/direktoryo. Ang mga pangalan ng file ay sumusunod sa pattern ng results-timestamp-counter.json. Dati nang naidokumento ng Socket ang gawi na ito sa mga naunang Mini Shai-Hulud wave.

Kasalukuyang nagpapakita ng humigit-kumulang 1.8k repositoryo ang mga resulta ng paghahanap sa pampublikong GitHub para sa reverse marker phrase, batay sa mga screenshot na sinuri mula sa ulat ng Socket. Ang mga pangalan ng repository ay sumusunod sa mga pattern na may temang Dune: sayyadina-stillsuit-852, atreides-ornithopter-112, harkonnen-phibian-552. Ang isang naobserbahang repositoryo, Zaynex/sayyadina-stillsuit-852, ay naglalaman ng mga resulta/direktoryo na pare-pareho sa aktibong exfiltration.

May worm logic din na naka-built in. Pina-validate ng package ang mga npm token sa pamamagitan ng mga registry API, binibilang ang mga maintainable na package, ini-inject ang preinstall hook, binu-bump ang mga numero ng bersyon, pagkatapos ay muling nag-publish sa ilalim ng pagkakakilanlan ng nakompromisong maintainer. Dinisenyo para kumalat, hindi lang magnakaw.

Ang mga naunang variant ng Mini Shai-Hulud ay tumama sa mga pakete ng TanStack at mga tool na nauugnay sa Intercom. Iba’t ibang pangalan ng file, iba’t ibang C2 endpoint. Gumagamit ang wave na ito ng root-level index.js at mas maliit na payload body. Ang pangunahing gawi ay tumutugma sa mga variant. Itinuturing ito ng Socket bilang kaparehong pamilya ng campaign.

Ang banta ay hindi teoretikal para saimprastraktura ng crypto. Ang mga developer ng Blockchain na bumubuo ng DeFi tooling o mga dashboard ng Web3 ay madalas na gumagamit ng mga antv charting library para sa on-chain na visualization ng data. Ang isang nakompromisong pipeline ng CI/CD sa isang proyekto ng DeFi ay maaaring maglantad ng mga kredensyal ng deployer o access ng admin ng protocol. Sinabi ni Socket na nananatiling bukas ang imbestigasyon.

Pinagmulan: Live Bitcoin News