ChainCatcher báo cáo, theo giám sát của SlowMist, MistEye đã phát hiện một cuộc tấn công chuỗi cung ứng npm quy mô lớn nhắm vào hệ sinh thái Keyv/Cacheable. Kẻ tấn công đã phát hành hơn 2.000 phiên bản gói độc hại, bao gồm keyv@6.0. Keyv là thư viện trừu tượng lưu trữ khóa-giá trị được sử dụng rộng rãi, hỗ trợ các backend như Redis, SQLite, PostgreSQL, MongoDB, với khoảng 127 triệu lượt tải xuống mỗi tuần, dẫn đến sự phơi bày rõ rệt trong chuỗi cung ứng phía dưới. Phương thức tấn công này có độ tương đồng cao với hoạt động worm Shai-Hulud trước đây, cho thấy một cuộc tấn công chuỗi cung ứng được tự động hóa và mở rộng cao. Các hành vi tấn công tiềm ẩn bao gồm đánh cắp thông tin xác thực, rò rỉ biến môi trường, rò rỉ khóa CI/CD, gửi tải trọng từ xa và lan truyền ngang qua môi trường phát triển bị xâm phạm. Các đội an ninh nên ngay lập tức xác định và gỡ bỏ các phiên bản gói bị ảnh hưởng, nâng cấp lên phiên bản an toàn đã được xác minh, xem xét tệp khóa phụ thuộc và nhật ký xây dựng, giám sát các kết nối đáng ngờ, thay đổi thông tin xác thực bị rò rỉ và tái tạo môi trường sau khi xác nhận bị ảnh hưởng.
Hệ sinh thái Keyv bị tấn công chuỗi cung ứng npm quy mô lớn với hơn 2.000 gói độc hại
ChaincatcherChia sẻ
Tóm tắt
Một cảnh báo tin tức trên chuỗi mới tiết lộ một cuộc tấn công quy mô lớn vào chuỗi cung ứng npm nhằm vào hệ sinh thái Keyv/Cacheable, với hơn 2.000 gói độc hại đã được công bố. Keyv, một thư viện lưu trữ kiểu key-value với 127 triệu lượt tải xuống mỗi tuần, hiện đang gặp rủi ro. Cuộc tấn công này mô phỏng worm Shai-Hulud, cho phép đánh cắp thông tin xác thực, phơi bày khóa CI/CD và di chuyển ngang. Các đội bảo mật được khuyến nghị kiểm tra các phụ thuộc, gỡ bỏ các phiên bản bị ảnh hưởng và tái xây dựng các môi trường bị xâm phạm. Sự cố này nhấn mạnh nhu cầu tăng cường sự phát triển của hệ sinh thái và an ninh chuỗi cung ứng.
Nguồn:Hiển thị bản gốc
Tuyên bố miễn trừ trách nhiệm: Thông tin trên trang này có thể được lấy từ bên thứ ba và không nhất thiết phản ánh quan điểm hoặc ý kiến của KuCoin. Nội dung này chỉ được cung cấp cho mục đích thông tin chung, không có bất kỳ đại diện hay bảo đảm nào dưới bất kỳ hình thức nào và cũng không được hiểu là lời khuyên tài chính hay đầu tư. KuCoin sẽ không chịu trách nhiệm về bất kỳ sai sót hoặc thiếu sót nào hoặc về bất kỳ kết quả nào phát sinh từ việc sử dụng thông tin này.
Việc đầu tư vào tài sản kỹ thuật số có thể tiềm ẩn nhiều rủi ro. Vui lòng đánh giá cẩn thận rủi ro của sản phẩm và khả năng chấp nhận rủi ro của bạn dựa trên hoàn cảnh tài chính của chính bạn. Để biết thêm thông tin, vui lòng tham khảo Điều khoản sử dụng và Tiết lộ rủi ro của chúng tôi.