Cybersecurity · VIDEO
ChainDrop: Il verme auto-propagante che infetta 400 pacchetti npm e ruba credenziali cloud
ChainDrop è un verme auto-propagante che ha infettato oltre 400 pacchetti npm, tra cui versioni maliziose di pacchetti ampiamente utilizzati come keyv e cacheable-request. Una volta installato, il verme ruba credenziali cloud, token npm e GitHub, chiavi SSH e altri dati sensibili degli sviluppatori. Inoltre, può estrarre credenziali temporanee dalla memoria dei runner GitHub Actions e utilizzare i token di pubblicazione npm rubati per infettare e ripubblicare ulteriori pacchetti mantenendone la funzionalità legittima.
IN BREVE
- ChainDrop ha infettato oltre 400 pacchetti npm, alcuni dei quali sono scaricati centinaia di milioni di volte a settimana.
- Il verme ruba credenziali cloud, token npm e GitHub, chiavi SSH e altri dati sensibili degli sviluppatori.
- Può estrarre credenziali temporanee dalla memoria dei runner GitHub Actions e utilizzare i token di pubblicazione npm rubati per infettare ulteriori pacchetti.
- Unit 42 ha identificato 453 repository GitHub pubblici e rilevato l'esecuzione di ChainDrop in 10 ambienti distinti.
- Le raccomandazioni includono l'identificazione e la rimozione delle versioni dei pacchetti npm infetti, l'investigazione delle workstation degli sviluppatori e delle pipeline CI, e la revisione delle attività di pubblicazione npm e dei repository GitHub.
