Keyvエコシステムが、2,000以上の悪意のあるパッケージを含む大規模なnpmサプライチェーン攻撃の標的となる

ChainCatcherの情報によると、慢霧の監視により、MistEyeが大規模なnpmサプライチェーン攻撃を検出しました。この攻撃はKeyv/Cacheableエコシステムに影響を与え、攻撃者はkeyv@6.0を含む2,000以上の悪意のあるパッケージバージョンを公開しました。KeyvはRedis、SQLite、PostgreSQL、MongoDBなどのバックエンドをサポートする広く使用されているキー・バリューストレージ抽象ライブラリで、週間ダウンロード数は約1.27億回に達し、深刻な下流サプライチェーンの暴露を引き起こしています。この攻撃手法は、以前のShai-Hulud npmワーム活動と非常に類似しており、高度に自動化され拡張可能なサプライチェーン攻撃を示唆しています。潜在的な攻撃行為には、資格情報の窃取、環境変数の漏洩、CI/CDキーの漏洩、リモートペイロードの配信、および侵入された開発環境を通じた横断的拡散が含まれます。セキュリティチームは直ちに影響を受けたパッケージバージョンを特定して削除し、検証済みの安全なバージョンにアップグレードし、依存関係ロックファイルとビルドログを確認し、疑わしい外部接続を監視し、漏洩した資格情報をローテーションし、影響を受けたことが確認された場合は環境を再構築する必要があります。