Penyerang Meluncurkan Serangan Rantai Pasokan Skala Besar “Mini Shai-Hulud”, Membahayakan 637 Versi Paket npm dalam 22 Menit pada 19 Mei

Menurut Slowmist, pada 19-20 Mei, penyerang membobol akun npm atool dan secara otomatis memublikasikan 637 versi berbahaya di 317 paket dalam 22 menit. Antara pukul 00:19 dan 00:54 waktu Beijing pada 20 Mei, penyerang mengunggah versi durabletask 1.4.1, 1.4.2, dan 1.4.3 dengan meniru rilis resmi milik Microsoft.

Komponen berfrekuensi tinggi yang terdampak mencakup AntV dan Echarts-for-react di ekosistem npm, serta durabletask di Python. Slowmist mengaitkan kebocoran token GitHub massal dan serangan ransomware Grafana Labs dengan kampanye ini. Penyerang dapat mencuri kredensial, memperoleh akses tidak sah ke repositori internal, bergerak secara lateral melalui pipeline CI/CD, dan memeras organisasi menggunakan token GitHub yang dibobol.