Saldırgan, birkaç saat içinde zehirlenmiş keyv ve kardeş önbellek paketlerini npm'de canlı olarak yayınladı ve bir kimlik bilgileri çalan solucan taşıdı. Güvenlik firması Aikido, en az 868 compromiseli paketi ve 1.381 versiyonu saydı ve birlikte 2 milyardan fazla aylık kurulumu taşıyor. JFrog bağımsız olarak kampanyayı 400'den fazla paket ve 1.700 zehirlenmiş versiyon boyunca izledi.
Saldırının Detayları
İlk zehirlenmiş sürümler, endüstrinin bir paketin iddia ettiği yerden geldiğini kanıtlamak için oluşturduğu kriptografik kimlik doğrulama olan geçerli provenans imzaları ile gönderildi. Solucan bu imzayı taklit etmedi, onu kazandı, meşru bir sürüm gibi. Bir gün önce, CrowdStrike 2026 Tehdit Avcılığı Raporunu yayınladı ve bu saldırı şeklini öngörerek, geliştirici ekosisteminin kendisine, paket depolarına, sürekli entegrasyon hatlarına, konteynır depolarına ve geliştiricilerin kod düzenleyicilerine yükledikleri uzantılara doğrudan saldırdığını belirtti.
Yorumlar (0)
Henüz yorum yok. İlk yorumu siz yazın.