Зловмисники запустили масштабну атаку на ланцюжок постачання на кшталт «Mini Shai-Hulud», скомпрометувавши 637 версій npm-пакетів за 22 хвилини 19 травня

За даними Slowmist, 19-20 травня зловмисники скомпрометували обліковий запис npm atool і автоматично опублікували 637 шкідливих версій у межах 317 пакетів за 22 хвилини. Між 00:19 і 00:54 за пекинським часом 20 травня зловмисники завантажили версії durabletask 1.4.1, 1.4.2 та 1.4.3, видаючи їх за офіційні релізи Microsoft.

Уражені високочастотні компоненти включають AntV і Echarts-for-react в екосистемі npm та durabletask у Python. Slowmist пов’язала витік токенів GitHub у масовому масштабі й атаки ransomware проти Grafana Labs із цією кампанією. Зловмисники могли викрадати облікові дані, отримувати несанкціонований доступ до внутрішніх репозиторіїв, переміщатися вбік через конвеєри CI/CD і вимагати викуп у організацій, використовуючи скомпрометовані токени GitHub.