การโจมตีห่วงโซ่อุปทาน Mini Shai-Hulud เชื่อมโยงกับเหตุการณ์ด้านความปลอดภัยของ GitHub และ Grafana

ChainCatcher รายงานว่า ตามข้อมูลภัยคุกคามที่ SlowMist เปิดเผย ช่วงนี้มีแพ็กเกจ npm ที่ใช้บ่อยหลายตัว รวมถึง AntV และ Echarts-for-react รวมถึง Python SDK durabletask ถูกโจมตีด้วยซัพพลายเชน Mini Shai-Hulud “มินิ ชาอูลุด” บัญชี npm atool ถูกบุกรุก และผู้โจมตีได้เผยแพร่เวอร์ชันที่เป็นอันตรายทั้งหมด 637 เวอร์ชันภายในเวลา 22 นาที โดยเกี่ยวข้องกับ 317 แพ็กเกจ ผู้โจมตียังอัปโหลดเวอร์ชัน durabletask 1.4.1, 1.4.2 และ 1.4.3 อย่างต่อเนื่องภายในเวลา 35 นาที เพื่อหลีกเลี่ยงการควบคุมการเผยแพร่ตามปกติและปลอมตัวเป็นทางการของ Microsoft เหตุการณ์รั่วไหลของ GitHub token ในปริมาณมากและการโจมตีเรียกค่าไถ่ต่อ Grafana Labs มีแนวโน้มว่าเกี่ยวข้องกับการโจมตีซัพพลายเชนนี้ องค์ประกอบที่ได้รับผลกระทบประกอบด้วย AntV, Echarts-for-react และอื่นๆ ที่เป็นแพ็กเกจที่ใช้บ่อยในระบบนิเวศ npm รวมถึง durabletask เวอร์ชัน 1.4.1, 1.4.2 และ 1.4.3 ใน Python ผู้โจมตีสามารถขโมยข้อมูลรับรองคลาวด์และแบบโลคัล เข้าถึงคลังภายในโดยไม่ได้รับอนุญาตและโครงสร้างพื้นฐานคลาวด์ที่ละเอียดอ่อน เคลื่อนตัวแบบแนวนอนไปยังเครื่องนักพัฒนาและ CI/CD pipeline ขายและใช้ประโยชน์จาก GitHub token ที่รั่วไหล และดำเนินการขู่เข็ญเรียกค่าไถ่และการรั่วไหลของข้อมูล SlowMist แนะนำให้เปลี่ยนรหัสผ่านทั้งหมดที่ถูกเปิดเผยทันที แทนที่แพ็กเกจที่ได้รับผลกระทบ แยกระบบที่อาจติดเชื้อ และดำเนินนโยบายการตรวจสอบการพึ่งพาอย่างเข้มงวด ก่อนหน้านี้ มีรายงานว่า “มินิ ชาอูลุด” worm เพิ่งแพร่กระจายอย่างกว้างขวางในคลังโค้ดโอเพ่นซอร์ส นักพัฒนาควรตรวจสอบและค้นหาความเสี่ยงอย่างระมัดระวัง