Злоумышленники запустили масштабную атаку на цепочку поставок в стиле «Mini Shai-Hulud», скомпрометировав 637 версий пакета npm за 22 минуты 19 мая

По данным Slowmist, 19–20 мая злоумышленники скомпрометировали npm-аккаунт atool и автоматически опубликовали 637 вредоносных версий в рамках 317 пакетов за 22 минуты. Между 00:19 и 00:54 по пекинскому времени 20 мая злоумышленники загрузили версии durabletask 1.4.1, 1.4.2 и 1.4.3, выдавая их за официальные релизы Microsoft.

Пострадали высокочастотные компоненты AntV и Echarts-for-react в экосистеме npm, а также durabletask в Python. Slowmist связала утечку токенов GitHub и атаки программ-вымогателей Grafana Labs с этой кампанией. Злоумышленники могли похищать учетные данные, получать несанкционированный доступ к внутренним репозиториям, перемещаться по горизонтали через конвейеры CI/CD и вымогать деньги у организаций, используя скомпрометированные токены GitHub.