Cảnh báo an toàn: 30 gói npm độc hại giả mạo kho giao dịch robot, nhắm mục tiêu đánh cắp khóa và cụm từ ghi nhớ của nhà phát triển

Tin tức từ ChainCatcher, SlowMist đã phát hành cảnh báo an ninh, phát hiện một cuộc tấn công chuỗi cung ứng npm độc hại phối hợp, kẻ tấn công đã lợi dụng kho lưu trữ bot giao dịch giả mạo và các gói npm chủ đề DeFi để phát tán trình thu thập thông tin JavaScript, mục tiêu nhắm vào người dùng npm, nhà phát triển DeFi và người dùng bot giao dịch.

Cuộc tấn công này liên quan đến 30 gói npm độc hại, trong đó stake-math@3.5.4 xuất hiện như một phụ thuộc khóa trong kho lưu trữ donoaccestag/forex-mt5-trading-bot, kho này trình bày khoảng 2300 nhánh được tạo ra hàng loạt có độ đồng nhất cao, phần lớn tập trung dưới tài khoản poly-stocks, tín hiệu rất rõ ràng. Phạm vi dữ liệu nhạy cảm mà kẻ tấn công có thể đánh cắp rất rộng, bao gồm thư viện ví tiền điện tử, Cookie trình duyệt và mật khẩu đã lưu, lịch sử duyệt web, thông tin xác thực của nhà phát triển, lịch sử Shell, thư viện trình quản lý mật khẩu, khóa riêng, cụm từ ghi nhớ và mã thông báo API được lộ trong mã nguồn.

SlowMist khuyến nghị các nhà phát triển ngay lập tức gỡ bỏ các gói npm bị ảnh hưởng, kiểm tra package.json và package-lock.json cũng như nhật ký CI xem có chứa bất kỳ gói độc hại nào trong số 30 gói đó hay không; coi các hệ thống đã thực hiện npm install là có thể đã bị xâm nhập, thay đổi tất cả ví, khóa riêng, mã thông báo npm, thông tin xác thực đám mây, khóa SSH và mã thông báo API đã lộ, và xây dựng lại môi trường bị ảnh hưởng từ hình ảnh sạch.