Атака на цепочку поставок Mini Shai-Hulud связана с инцидентами безопасности GitHub и Grafana

ChainCatcher сообщает, что согласно угрозам, опубликованным SlowMist, недавно несколько часто используемых npm-пакетов, включая AntV и Echarts-for-react, а также Python-SDK durabletask, подверглись цепочечной атаке Mini Shai-Hulud «Мини-червь». Аккаунт npm atool был взломан, и за 22 минуты злоумышленник автоматически опубликовал 637 вредоносных версий, затронув 317 пакетов. За 35 минут злоумышленник последовательно загрузил версии durabletask 1.4.1, 1.4.2 и 1.4.3, обойдя стандартные контрольные механизмы публикации и выдавая себя за официальный выпуск Microsoft. Массовое утечка GitHub-токенов и атака вымогателей на Grafana Labs, вероятно, связаны с этой цепочечной атакой. Пострадавшие компоненты включают часто используемые компоненты в экосистеме npm, такие как AntV и Echarts-for-react, а также Python-пакеты durabletask версий 1.4.1, 1.4.2 и 1.4.3. Злоумышленники могут похищать облачные и локальные учетные данные, получать несанкционированный доступ к внутренним репозиториям и чувствительной облачной инфраструктуре, перемещаться поперек внутри системы к машинам разработчиков и CI/CD-каналам, продавать и использовать украденные GitHub-токены, а также применять угрозы вымогательства и утечки данных. SlowMist рекомендует немедленно сменить все скомпрометированные учетные данные, заменить затронутые пакеты, изолировать потенциально зараженные системы и внедрить строгую политику проверки зависимостей. Ранее сообщалось, что червь «Мини-червь» недавно заразил значительное количество открытых кодовых репозиториев; разработчикам следует провести проверку.