Um grande ataque à cadeia de suprimentos em JavaScript comprometeu centenas de pacotes de software — incluindo pelo menos 10 amplamente utilizados em todo o ecossistema cripto — de acordo com novas pesquisas da empresa de cibersegurança Aikido Security.
Em uma postagem de segunda-feira, Charlie Eriksen, um pesquisador da Aikido Security, compartilhou os nomes de mais de 400 pacotes que mostram sinais de infecção com o malware autorreplicante “Shai Hulud” usado em um ataque em andamento à cadeia de suprimentos da biblioteca JavaScript NPM. Eriksen disse que validou cada detecção para evitar falsos positivos.
Muitos dos pacotes relacionados com criptomoeda envolvidos recebem dezenas de milhares de downloads por semana e têm numerosos outros pacotes que requerem para funcionar. Numa publicação no X feita mais cedo hoje, Eriksen também alertou a equipa do Ethereum Name Service (ENS) de que vários dos seus pacotes estão afetados.
Fonte: Charlie EriksenShai Hulud faz parte de uma tendência mais ampla de ataques à cadeia de suprimentos. No início de setembro, o maior ataque NPM relatado até à data viu hackers roubarem apenas $50 milhões em criptomoedas. A Amazon Web Services observou que este primeiro ataque foi seguido pela propagação do verme Shai-Hulud de forma autônoma apenas uma semana depois.
Enquanto o ataque anterior visava diretamente criptomoedas para roubar ativos, Shai-Hulud é um malware de roubo de credenciais de propósito geral que se espalha autonomamente pela infraestrutura de desenvolvedores. Se o ambiente infectado contiver chaves de carteira, o malware irá roubá-las como “segredos” como qualquer outra credencial.
Relacionado: Falha na exploração do NPM destaca a ameaça iminente à segurança das criptomoedas: Exec
Quais pacotes de criptomoeda são afetados?
Entre todos os pacotes afetados, pelo menos 10 estavam especificamente relacionados à indústria de criptomoedas, e quase todos estavam ligados ao ENS, um serviço de nome de endereço legível por humanos. Entre os pacotes afetados estão o content-hash do ENS, com quase 36.000 downloads semanais, e 91 pacotes de software que dependem dele, bem como o address-encoder, com mais de 37.500 downloads semanais.
Outros pacotes ENS afetados incluem ensjs ( mais de 30.000 downloads semanais ), ens-validation ( 1.750 downloads semanais ), ethereum-ens ( 12.650 downloads semanais ), e ens-contracts ( quase 3.100 downloads semanais ). Um pacote relacionado a criptomoedas não relacionado ao ENS, chamado crypto-addr-codec, também foi comprometido, com quase 35.000 downloads.
Relacionado: $27 milhões desaparecidos, nenhuma chave privada exposta: Como aconteceu o hack do BigONE
Pacotes populares não relacionados a criptomoedas afetados
Pacotes não relacionados a criptomoedas afetados incluem alguns oferecidos pela plataforma de automação corporativa Zapier, incluindo um com mais de 40.000 downloads por semana e muitos não muito atrás. Em uma postagem subsequente, Eriksen apontou para outros pacotes que foram infectados, alguns com quase 70.000 downloads semanais, e para outro pacote que viu bem mais de 1,5 milhão de downloads semanais.
“O alcance deste novo ataque de Shai Hulud é francamente massivo; ainda estamos a trabalhar na fila para confirmar tudo,” escreveu Eriksen no X.
“Isso fará o ataque anterior parecer nada.”
Pesquisadores da empresa de cibersegurança Wiz afirmam ter “detectado mais de 25.000 repositórios afetados em ~350 usuários únicos, 1.000 novos repositórios estão sendo adicionados consistentemente a cada 30 minutos nas últimas horas.” A empresa recomenda “investigação e remediação imediatas” para qualquer ambiente que utilize npm.
Revista: ‘Ajuda! O meu aspirador robot está a roubar o meu Bitcoin’: Quando os dispositivos inteligentes atacam
- #Segurança
- #Ethereum
- #Malware
- #Hackers
- #Cibersegurança
- #ENS
- #Cadeia de Suprimentos
- #Hacks
Adicionar reação
![]()
Aviso: As informações nesta página podem ser provenientes de terceiros e não representam as opiniões ou pontos de vista da Gate. O conteúdo exibido nesta página é apenas para referência e não constitui aconselhamento financeiro, de investimento ou jurídico. A Gate não garante a exatidão ou integridade das informações e não será responsável por quaisquer perdas decorrentes do uso dessas informações. Os investimentos em ativos virtuais apresentam altos riscos e estão sujeitos a uma volatilidade de preços significativa. Você pode perder todo o capital investido. Por favor, compreenda completamente os riscos envolvidos e tome decisões prudentes com base em sua própria situação financeira e tolerância ao risco. Para mais detalhes, consulte o
Aviso Legal.
