Shai-Hulud revine: viermele ChainDrop lovește npm, infectând sute de pachete

Pe 4 august 2026, un atacator a preluat controlul asupra contului GitHub al administratorului proiectului keyv, o bibliotecă de cache de tip cheie-valoare cu aproximativ câteva sute de milioane de descărcări săptămânale de pe npm, și a injectat un vierme care fura datele de autentificare în întreaga familie de pachete a administratorului, inclusiv cacheable, flat-cache, file-entry-cache și cache-manager. Cunoscut sub numele de ChainDrop, acesta s-a răspândit la sute de pachete suplimentare, cu peste două miliarde de instalări lunare în total.

Ceea ce o face periculoasă nu este numărul de descărcări, ci modul în care codul rău intenționat a câștigat încrederea utilizatorilor. Atacatorul a publicat versiunile prin intermediul propriului flux automatizat de lansare al proiectului, astfel încât versiunile compromise aveau o proveniență validă: o dovadă semnată că pachetul a fost compilat de fluxul oficial din sursa autentică. Această dovadă ar trebui să fie un semnal de siguranță. În acest caz, ea era autentică, deoarece fluxul în sine fusese compromis. Pentru un dezvoltator sau pentru un instrument de securitate care verifica semnătura, versiunea rău intenționată părea complet autentică.

ChainDrop reprezintă cea mai recentă etapă a unei campanii pe care cercetătorii o urmăresc încă din septembrie 2025: Shai-Hulud 1.0 (septembrie 2025), 2.0 (noiembrie 2025) și Mini Shai-Hulud, Etapa a patra (mai 2026). Fiecare dintre acestea a cunoscut o intensificare, variantele ulterioare prezentând o propagare mai agresivă și exploatări mai ample ale lanțului de aprovizionare.

• Data: keyv@6.0.0 este data de începere confirmată, publicată pe 4 august 2026.

• Punctul de intrare: Atacul a început cu compromiterea contului GitHub al unui administrator, iar versiunea malicioasă a trecut prin fluxul legitim de publicare al proiectului.

• Amploare: Cifrele variază în funcție de sursa de monitorizare, dar toate rapoartele sunt de acord că a fost vorba de un incident de proporții majore în lanțul de aprovizionare al npm. StepSecurity a raportat inițial 435 de pachete / 1.557 de versiuni, în timp ce Aikido și rapoartele ulterioare au ridicat cifra totală, unele estimări indicând peste 1.300 de pachete și aproximativ 2 miliarde de descărcări lunare.

• Sarcină utilă: Există o cale de preinstalare care utilizează fișierul setup.mjs, care descarcă Bun și lansează o sarcină utilă de mari dimensiuni, ofuscată, destinată furtului de date de autentificare.

• Sursă: Cercetătorii îl încadrează în familia de programe malware Shai-Hulud.

Ceea ce face ca ChainDrop să fie deosebit de îngrijorător este faptul că nu s-a bazat pe o vulnerabilitate spectaculoasă sau pe un site fals de descărcare. În schimb, a profitat de lanțul normal de aprovizionare cu software — același proces de publicare și instalare a pachetelor folosit de milioane de dezvoltatori.

În practică, asta înseamnă că un pachet poate părea legitim, dar poate conține în secret cod rău intenționat care se activează în timpul instalării. Echipele de securitate afirmă că malware-ul a fost creat pentru a fura informații confidențiale de pe computerele dezvoltatorilor și din sistemele CI/CD, inclusiv token-uri GitHub, date de autentificare npm, chei AWS, secrete Kubernetes și alte date de acces.

Riscul general nu se limitează doar la dezvoltatori. Orice organizație care utilizează pachetele afectate poate fi compromisă indirect prin intermediul sistemelor de compilare, al dependențelor și al fluxurilor automatizate de lansare.

ChainDrop ne reamintește că dependențele open-source reprezintă un risc pentru afaceri, nu doar o preocupare a dezvoltatorilor.

Pentru orice organizație care se bazează pe software-ul JavaScript și Node.js, ChainDrop ne reamintește că dependențele open-source reprezintă un risc pentru afaceri, nu doar o preocupare a dezvoltatorilor.

Un pachet compromis poate fi preluat indirect prin intermediul dependențelor și al sistemelor de compilare, ceea ce poate duce la furtul datelor de autentificare, la accesul neautorizat la infrastructura cloud, precum și la rotația secretelor la scară largă și la intervenții în caz de incidente. În cazul în care integritatea software-ului, controlul accesului și riscurile asociate terților se încadrează în mediul dumneavoastră de control – așa cum se întâmplă în conformitate cu standardele PCI DSS, DORA, NIS2 și CMMC –, această expunere afectează în mod direct și conformitatea și guvernanța.

Dacă este posibil să fi instalat un pachet afectat începând cu data de 4 august 2026:

• Analizați-vă dependențele: generați un SBOM și verificați dependențele în raport cu versiunile cunoscute ca fiind dăunătoare

• Imagine înainte de revocare: Faceți o captură de ecran a sistemelor afectate înainte de a schimba token-urile. Malware-ul monitorizează revocarea datelor de autentificare și poate declanșa un handler dacă efectuați mai întâi schimbarea token-urilor.

• Rotați datele de autentificare expuse: Rotați toate datele de autentificare accesibile (token-uri npm, coduri PAT GitHub, chei SSH, date de autentificare pentru servicii cloud) și impuneți autentificarea cu două factori (MFA)

• Verificați după versiunea exactă, nu după nume: căutați potriviri cu versiunea exactă identificată, nu cu numele pachetului; etichetele din registru au fost modificate în timpul incidentului

• Eliminați hook-urile de la nivelul repo-ului: verificați fișierele .claude/settings.json și .vscode/tasks.json, nu doar folderul node_modules

• Audit CI/CD: Efectuați un audit al proceselor CI/CD și GitHub Actions pentru a identifica publicările neașteptate sau fluxurile de lucru noi

Concluzia este că singura apărare durabilă împotriva acestui tip de atac constă în verificarea conținutului unei componente, în loc să te bazezi pe sursa acesteia.