Worm ChainDrop tấn công chuỗi cung ứng npm, né cơ chế phòng thủ thông thường
"A new npm supply-chain worm variant, dubbed ChainDrop and associated with the Shai-Hulud family, infected 444 packages from multiple publishers and spread through tarballs and developer-tool hooks rather than obvious source-repository commits. It steals npm/GitHub credentials, propagates into accessible packages and branches, and was mitigated by yanking the compromised packages from npm; defenders are advised to inspect .claude/settings.json and .vscode/tasks.json files and review all branches and dependencies."
Ảnh hưởng ở mức rất cao do mã độc có thể đánh cắp thông tin xác thực, tự lan truyền và né kiểm tra mã nguồn thông thường.
Có thể gây gián đoạn chuỗi cung ứng phần mềm, phát tán sang CI/CD và làm tăng chi phí ứng cứu sự cố cũng như kiểm tra toàn bộ phụ thuộc.
Một biến thể mới của họ mã độc Shai-Hulud, được gọi là ChainDrop, đã xâm nhập chuỗi cung ứng npm và làm nhiễm 444 gói từ nhiều nhà phát hành. Theo các nhà nghiên cứu, các gói này có tổng lượt tải khoảng 2 tỷ lần mỗi tháng, trong đó có các phụ thuộc hạ tầng được dùng rộng rãi như keyv, flat-cache và cache-manager.
Điểm đáng chú ý là ChainDrop không chỉ lây qua việc cài gói thông thường mà còn thông qua tarball và các hook trong công cụ phát triển. Khi được kích hoạt, mã độc tìm kiếm npm token, GitHub credentials, khóa đám mây và các bí mật khác trong biến môi trường, cấu hình shell và bộ nhớ. Nếu có quyền phù hợp, nó có thể tự sao chép sang các gói và nhánh mà tài khoản đó truy cập được.
Các gói bị ảnh hưởng đã được gỡ khỏi npm. Đội ngũ kỹ thuật nên kiểm tra .claude/settings.json và .vscode/tasks.json, rà soát tất cả nhánh và đối chiếu phiên bản đang triển khai với danh sách gói bị xâm nhập. Cũng cần xem lại cách sử dụng CI/CD, vì chuỗi tấn công này có thể đi vào bản dựng mới thông qua phụ thuộc bị nhiễm.