ChainCatcher melaporkan, menurut pemantauan SlowMist, MistEye mendeteksi serangan rantai pasok npm skala besar yang memengaruhi ekosistem Keyv/Cacheable. Penyerang merilis lebih dari 2.000 versi paket jahat, termasuk keyv@6.0. Keyv adalah perpustakaan abstraksi penyimpanan kunci-nilai yang banyak digunakan, mendukung backend seperti Redis, SQLite, PostgreSQL, MongoDB, dengan sekitar 127 juta unduhan mingguan, menyebabkan eksposur rantai pasok yang signifikan. Metode serangan ini sangat mirip dengan aktivitas worm npm Shai-Hulud sebelumnya, menunjukkan serangan rantai pasok yang sangat otomatis dan skalabel. Potensi aktivitas serangan mencakup pencurian kredensial, kebocoran variabel lingkungan, kebocoran kunci CI/CD, pengiriman payload jarak jauh, serta penyebaran lateral melalui lingkungan pengembangan yang telah disusupi. Tim keamanan harus segera mengidentifikasi dan menghapus versi paket yang terdampak, memperbarui ke versi aman yang telah diverifikasi, meninjau file kunci dependensi dan log build, memantau koneksi mencurigakan, mengganti kredensial yang bocor, serta membangun ulang lingkungan setelah konfirmasi terdampak.
Ekosistem Keyv Diserang Serangan Rantai Pasokan npm Skala Besar dengan Lebih dari 2.000 Paket Jahat
ChaincatcherBagikan
Ringkasan
Peringatan berita on-chain baru mengungkap serangan skala besar terhadap rantai pasokan npm yang menargetkan ekosistem Keyv/Cacheable, dengan lebih dari 2.000 paket jahat yang dipublikasikan. Keyv, sebuah perpustakaan penyimpanan kunci-nilai dengan 127 juta unduhan mingguan, kini berisiko. Serangan ini meniru worm Shai-Hulud, memungkinkan pencurian kredensial, eksposur kunci CI/CD, dan pergerakan lateral. Tim keamanan diminta untuk mengaudit dependensi, menghapus versi yang terdampak, dan membangun ulang lingkungan yang terkompromi. Insiden ini menyoroti kebutuhan akan pertumbuhan ekosistem dan keamanan rantai pasokan yang lebih kuat.
Sumber:Tampilkan versi asli
Penafian: Informasi pada halaman ini mungkin telah diperoleh dari pihak ketiga dan tidak mencerminkan pandangan atau opini KuCoin. Konten ini disediakan hanya untuk tujuan informasi umum, tanpa representasi atau jaminan apa pun, dan tidak dapat ditafsirkan sebagai saran keuangan atau investasi. KuCoin tidak bertanggung jawab terhadap segala kesalahan atau kelalaian, atau hasil apa pun yang keluar dari penggunaan informasi ini.
Berinvestasi di aset digital dapat berisiko. Harap mengevaluasi risiko produk dan toleransi risiko Anda secara cermat berdasarkan situasi keuangan Anda sendiri. Untuk informasi lebih lanjut, silakan lihat Ketentuan Penggunaan dan Pengungkapan Risiko.