ChainCatcherの情報によると、慢霧が公開した脅威インテリジェンスによると、最近、AntVやEcharts-for-react、Python SDKのdurabletaskを含む複数の高頻度npmパッケージが、Mini Shai-Hulud（ミニ沙虫）によるサプライチェーン攻撃の標的となりました。npmアカウント「atool」が侵害され、攻撃者は22分以内に637個の悪意のあるバージョンを自動的に公開し、317個のパッケージに影響を与えました。攻撃者は35分以内にdurabletaskのバージョン1.4.1、1.4.2、1.4.3を連続してアップロードし、通常のリリース制御を回避してマイクロソフト公式のリリースを装いました。GitHubトークンの大規模漏洩事件およびGrafana Labsへのランサムウェア攻撃は、このサプライチェーン攻撃と関連している可能性があります。影響を受けたコンポーネントには、npmエコシステム内のAntV、Echarts-for-reactなどの高頻度コンポーネント、およびPythonパッケージdurabletaskのバージョン1.4.1、1.4.2、1.4.3が含まれます。攻撃者は、クラウドおよびローカルの認証情報を窃取し、内部リポジトリや機密クラウドインフラへの不正アクセスを行い、開発者マシンやCI/CDパイプラインへ横断移動し、漏洩したGitHubトークンを販売・利用し、ランサムウェアやデータ漏洩の脅威を実施することが可能です。慢霧は、暴露されたすべての認証情報を即時ローテーションし、影響を受けたパッケージを置き換え、感染の可能性のあるシステムを隔離し、厳格な依存関係レビュー方針を実施することを推奨しています。以前の情報によると、「ミニ沙虫」ワームは最近、オープンソースコードベースで広範囲に感染を完了しており、開発者は確認作業に注意する必要があります。
Mini Shai-Huludのサプライチェーン攻撃がGitHubおよびGrafanaのセキュリティ事象と関連
Chaincatcher共有
概要
恐怖と欲求インデックスの急騰は、AntV、Echarts-for-react、durabletaskなどのnpmパッケージを標的としたMini Shai-Huludワームに関連するサプライチェーン攻撃と一致している。攻撃者は 'atool' 口座を侵害し、22分間で637の悪意のあるバージョンを公開した。この侵害はGitHubトークンの漏洩とGrafanaランサムウェア事件と関連しており、資格情報の盗難、CI/CDの悪用、横断的移動を可能にする。セキュリティ企業は資格情報のローテーションと依存関係のチェックを推奨している。変動率の上昇の中、注目すべきアルトコインはこのような脅威によりさらに圧力を受けかねない。
出典:原文を表示
免責事項: 本ページの情報はサードパーティからのものであり、必ずしもKuCoinの見解や意見を反映しているわけではありません。この内容は一般的な情報提供のみを目的として提供されており、いかなる種類の表明や保証もなく、金融または投資助言として解釈されるものでもありません。KuCoinは誤記や脱落、またはこの情報の使用に起因するいかなる結果に対しても責任を負いません。
デジタル資産への投資にはリスクが伴います。商品のリスクとリスク許容度をご自身の財務状況に基づいて慎重に評価してください。詳しくは利用規約およびリスク開示を参照してください。