במקביל לאירוע הזה 👆, מתברר שהנוזקה Shai Hulud לא נשארה רק ב-npm, אלא התפשטה לעוד לגל תקיפה רחב

בגרסה חדשה, Shai Hulud v2, שהושתלה ביותר מ-830 חבילות זדוניות ב-npm וגם חצתה פלטפורמות והגיעה למאגר Maven של Java.

הזרקת הנוזקה בוצעה באמצעות סקריפטי התקנה (install scripts) שהורידו קוד נוסף, סרקו את סביבת הפיתוח/CI, גנבו מפתחות רגישים (API keys, GitHub tokens, ענן ועוד), ושיגרו אותם לחשבונות GitHub שנפתחו במיוחד לשלב ההדלפה.

מעל 28,000 ריפוזיטוריות ויותר מ-26,000 חשבונות זוהמו או חשפו סודות כחלק מהגל האחרון, מה שהופך את Shai Hulud לאחת מתקפות שרשרת-האספקה הגדולות ביותר שתועדו בשנים האחרונות.

הפגיעה אינה מוגבלת למפתחים בלבד, כל ארגון שמשתמש בתלויות נגועות, גם בעקיפין, עלול להדליף סודות ותצורות CI/CD. npm, GitHub ו-Zapier החלו באירוע תגובה משותף בהם ניקו את החבילות וקראו לכל המפתחים לבצע בדיקת תלויות מלאה והחלפת מפתחות מיידית בכל מערכת שנגעה בחבילות שנפגעו.

https://t.me/CyberUpdatesIL/2009

#SupplyChain #npm #Zapier #ShaiHulud #Java #Maven #Malware #CyberSecurity #CyberUpdatesIL