Självspridande npm-attack mot leverantörskedjan med inriktning på utvecklartoken

En ny och aktiv npm-försörjningskedjeattack har observerats som missbrukar komprometterade underhållsuppgifter för att själv sprida skadlig kod över paket i Node.js-ekosystemet. Den skadliga koden stjäl autentiseringsmaterial (npm-tokens, molnuppgifter, CI/CD-hemligheter, SSH-nycklar och plånboksdata) och använder alla upptäckta publiceringstoken för att injicera sig i ytterligare paket som ägs av samma underhållare, vilket skapar maskliknande lateral spridning.

Kampanjen identifierades av Socket och StepSecurity och påverkar flera paket som publiceras av Namastex Labs, med minst 16 bekräftade komprometterade paket vid tidpunkten för rapporteringen. På grund av sin legitimationsdrivna spridningsmodell kan sprängningsradien expandera snabbt i miljöer där utvecklare eller CI-system behåller publiceringsbehörigheter.

Initial kompromettering och körning av nyttolast

Skadlig kod injicerades i legitima npm-paket och körs automatiskt när paketet installeras. När den körs utför nyttolasten omfattande hemlig upptäckt på värdsystemet och skannar efter:

• Tokens för npm-publicering

• API-nycklar (molnleverantörer, register, LLM-plattformar)

• SSH-nycklar och CI/CD-autentiseringsuppgifter

• Konfigurationsfiler för Kubernetes och Docker

• Webbläsarlagrade hemligheter från Chrome och Firefox, inklusive kryptovalutaplånböcker (MetaMask, Exodus, Atomic Wallet, Phantom)

Mekanism för spridning

Om den skadliga programvaran hittar giltiga npm-publiceringsuppgifter (t.ex. via miljövariabler eller ~ / .npmrc), det:

• Räknar upp alla npm-paket som den komprometterade token är behörig att publicera

• Injicerar samma skadliga nyttolast i dessa paket

• Publicerar dem på nytt med inkrementerade versionsnummer

• Möjliggör rekursiv infektion när nedströmsutvecklare installerar de nya versionerna

Forskarna beskriver uttryckligen den skadliga programvaran som en "supply-chain worm" som kan sprida sig autonomt utan ytterligare ingripande från angriparen när referenser har erhållits.

Risk över hela ekosystemet

Om PyPI-referenser upptäcks på samma system försöker den skadliga programvaran att kompromissa med Python-paket med hjälp av en .pth-baserad persistensmekanism. Detta utvidgar attacken utöver JavaScript, vilket gör det till ett hot mot leveranskedjan i flera ekosystem.

Bekräftade påverkade paket

Vid tidpunkten för publiceringen bekräftades följande paket och versioner vara skadliga och bör betraktas som helt komprometterade:

• @automagik/genie (4.260421.33–4.260421.39)

• pgserve (1.1.11-1.1.13)

• @fairwords/websocket (1.0.38-1.0.39)

• @fairwords/loopback-anslutning-es (1.4.3-1.4.4)

• @openwebconcept/theme-owc@1.0.3

• @openwebconcept/design-tokens@1.0.3

Dessa paket används ofta i AI-agentverktyg och backend-datatjänster, vilket ökar värdet av komprometterade miljöer.

Påverkan

• Stöld av inloggningsuppgifter som leder till att moln, CI/CD och arkiv äventyras

• Obehörig publicering av ytterligare skadliga paket

• Nedströms kompromettering av beroende applikationer

• Förlust av immateriella rättigheter och hemligheter

• Stöld av plånböcker med kryptovaluta i utvecklarmiljöer

Indikatorer på kompromettering

Organisationer bör undersöka för:

• Oväntade versionsuppdateringar av npm-paket utan motsvarande förändringsmotivering uppströms

• Obehöriga publiceringar från underhållarkonton

• npm-tokens åtkomliga utanför förväntade CI/CD-arbetsflöden

• Förekomst av okända skript eller fördunklad JavaScript i beroenden

• Misstänkta utgående anslutningar från build pipelines efter npm-installationer

Den snabba återpubliceringen (flera skadliga versioner som släpps inom några timmar) är en anmärkningsvärd beteendeindikator i den här kampanjen.

Rekommenderade begränsande åtgärder

• Ta bort alla identifierade skadliga paketversioner från miljöer och pipelines

• Rotera alla hemligheter som potentiellt exponeras på drabbade system (npm, GitHub, moln, CI/CD)

• Återkalla npm-publiceringstoken och utfärda dem på nytt med minimal omfattning

• Granska publiceringshistoriken för alla underhållarkonton

• Granska relaterade paket med samma public.pem-fil, samma webhook-värd eller samma postinstallationsmönster

Om du är orolig för något av de hot som beskrivs i den här bulletinen eller behöver hjälp med att avgöra vilka åtgärder du bör vidta för att skydda dig mot de mest väsentliga hoten mot din organisation, kontakta din kontoansvarige, eller alternativt kontakta oss för att ta redapå hur du kan skydda din organisation.