کرم گیت‌هاب بسته‌های npm را با ۱۶ میلیون دانلود هدف قرار داد

Mini Shai-Hulud با سوءاستفاده از GitHub Actions، ۱۶ میلیون دانلود هفتگی را هدف گرفت

کارزار Mini Shai-Hulud که به گروه تهدید Team PCP نسبت داده می‌شود، مثل اغلب حملات زنجیره تأمین عمل نمی‌کند؛ زیرا مهاجم به‌جای دزدیدن اعتبارنامه‌های یک توسعه‌دهنده و انتشار مستقیم، یک مخزن هدف را در GitHub فورک می‌کند و یک Pull Request باز می‌کند که یک گردش‌کار `pull_request_target` را اجرا می‌کند.

این کار، کش GitHub Actions را با یک pnpm store مخرب آلوده می‌کند و از آن نقطه به بعد، بسته‌های آلوده دارای گواهی‌های امضاشده معتبر هستند و بررسی‌های منشأ SLSA را پاس می‌کنند؛ در نتیجه برای ابزارهای امنیتی استاندارد کاملاً پاک به نظر می‌رسند.

در ۱۹ مه، تازه‌ترین موج اکوسیستم تجسم داده AntV را هدف گرفت؛ زیرا مهاجمان دسترسی پیدا کردند به یک حساب نگه‌دارنده به‌خطر‌افتاده در فضای نام @atool و در یک جهش خودکارِ ۲۲ دقیقه‌ای، بیش از ۳۰۰ نسخه مخرب از بسته‌ها را در میان ۳۲۳ بسته منتشر کردند.

از جمله بسته‌های آسیب‌دیده، echarts-for-react است؛ یک wrapper ری‌اکت برای Apache Echarts با حدود ۱.۱ میلیون دانلود هفتگی. مجموع دانلود هفتگی در همه بسته‌های آسیب‌دیده در این موج، حدود ۱۶ میلیون برآورد می‌شود.

نگران‌کننده‌ترین جزئیات فنی، این است که اگر یک توسعه‌دهنده تلاش کند دخالت کند چه رخ می‌دهد. بدافزار یک «کلید قطع اضطراری» نصب می‌کند؛ یعنی یک اسکریپت شل که هر ۶۰ ثانیه API گیت‌هاب را پرس‌وجو می‌کند تا بررسی کند آیا توکن npm که ایجاد کرده باطل شده است یا نه. این توکن توضیح «IfYouRevokeThisTokenItWillWipeTheComputerOfTheOwner» را دارد که اگر توسط توسعه‌دهنده باطل شود، بلافاصله دایرکتوری خانگی دستگاه آلوده را پاک می‌کند.

این توکن همچنین اعتبارنامه‌ها را از GitHub، AWS، Azure، GCP، Kubernetes، Hashi Corp Vault و بیش از ۹۰ پیکربندی ابزارهای توسعه‌دهنده سرقت می‌کند و سپس به‌صورت جانبی در سراسر زیرساخت ابریِ متصل گسترش می‌یابد.

یک حمله، چندین قربانی

این کارزار هم‌زمان Python Package Index (PyPI) را نیز هدف گرفت؛ به‌طوری‌که در ۱۹ مه سه نسخه مخرب از SDK رسمی durabletask پایتونِ مایکروسافت منتشر شد که به‌صورت خاموش یک payload ۲۸ کیلوبایتیِ سرقتِ اعتبارنامه را دانلود و اجرا می‌کرد (که پس از اجرای اولیه قادر به حرکت در محیط‌های AWS، Azure و GCP است).

GitHub در ۲۰ مه با اعلامیه‌ای پاسخ داد که سه تغییر اصلی در انتشار npm را تشریح می‌کرد: ثبت‌نام گروهی OIDC برای کمک به سازمان‌ها جهت مهاجرت صدها بسته به «انتشار مورداعتماد» در مقیاس، گسترش پشتیبانی ارائه‌دهنده OIDC فراتر از GitHub Actions و Gitlab، و یک مدل جدید «انتشار مرحله‌ای» که به نگه‌دارندگان یک بازه بازبینی قبل از عمومی شدن بسته‌ها می‌دهد و تأیید احراز هویت چندعاملی (MFA) را الزامی می‌کند.

این شرکت همچنین قصد دارد توکن‌های کلاسیکِ قدیمی را کنار بگذارد، کاربران را به 2FA مبتنی بر FIDO مهاجرت دهد و انتشار مبتنی بر توکن را به‌صورت پیش‌فرض غیرمجاز کند. در موج قبلی این کارزار در سپتامبر ۲۰۲۵، GitHub بیش از ۵۰۰ بسته به‌خطر‌افتاده را از رجیستری npm حذف کرد

شرکت امنیت بلاکچین Slowmist در ۱۴ مه هشدار اولیه‌ای صادر کرده بود پس از آنکه سه نسخه مخرب از node-ipc—بسته‌ای با ۸۲۲ هزار دانلود هفتگی—را به‌عنوان بخشی از همین کارزار علامت‌گذاری کرد.

به توسعه‌دهندگانی که از هر یک از بسته‌های علامت‌گذاری‌شده استفاده می‌کنند توصیه شده است فوراً درخت وابستگی‌ها را ممیزی کنند، همه اعتبارنامه‌ها را بدون آنکه ابتدا توکن مخرب را باطل کنند چرخش دهند، و شاخص‌های نفوذ منتشرشده توسط Snyk، Wiz، Socket.dev و Step Security را بررسی کنند.