ChainDrop: npm install как вход в облако

Один скомпрометированный аккаунт мейнтейнера - и ваш dependency tree начинает работать на атакующего.

ChainDrop прошёл по экосистеме npm через популярные пакеты Keyv, Cacheable и зависимые компоненты. Это не классическая история «поставили троян в один пакет». Исследователи описывают самораспространяющуюся схему: вредоносный код забирает credentials, а затем использует их для публикации новых заражённых версий в других пространствах пакетов. Целями были токены npm и GitHub, ключи cloud, CI/CD и секреты из окружения.

Самая неприятная часть - цифра affected packages в первые часы менялась. Это нормально для активного supply-chain инцидента. Ненормально другое: команда, которая смотрит только на текущий тег latest, может решить, что «всё чисто», хотя конкретная вредоносная версия уже успела попасть в lockfile и CI-runner.

Что делать :

* Найти затронутые точные name@version в package-lock.json, yarn.lock, pnpm-lock.yaml
* Считать машины и runners, установившие их, потенциально скомпрометированными
* Отозвать и перевыпустить токены из чистой среды
* Проверить GitHub Audit Log, cloud audit trail, новые PAT, SSH-ключи и CI secrets
* Включить provenance, MFA и минимальные права для publishing-токенов

Supply chain - это давно не про библиотеку. Это про то, кто получает ключи от вашего облака в момент сборки.

💥 [Проекты и связь с Дмитрием]: https://t.me/allproject_bs/13

#ChainDrop #npm #NodeJS #SupplyChain #SupplyChainSecurity #supplychainattack