Ruim achterhonderd npm-packages zijn door een supplychain-aanval getroffen, zo melden verschillende cybersecuritybedrijven en Microsoft. De aanvallers wisten het GitHub-account van de maintainer van keyv, een key-value storage library, te hacken. De library telt zo'n 127 miljoen downloads per week. De library werd van malware voorzien die allerlei credentials van besmette systemen steelt en daarna andere packages probeert te infecteren om zich zo verder te verspreiden.

De betreffende maintainer is ook verantwoordelijk voor het beheer van verschillende andere packages en tools, waaronder flat-cache en file-entry-cache, die respectievelijk 565 miljoen en 557 miljoen downloads per maand tellen. Softwareontwikkelaars die voor hun projecten van deze packages gebruikmaken en de geïnfecteerde versies installeren raken zo zelf geïnfecteerd. Vervolgens kan de malware inloggegevens, tokens, keys en andere credentials van deze ontwikkelaars stelen en hun softwareprojecten infecteren.

Zodoende zijn in korte tijd zeker 868 packages besmet geraakt, meldt cybersecuritybedrijf Aikido. De malware die aan deze packages is toegevoegd steelt npm-tokens, GitHub-tokens, AWS-inloggegevens, Kubernetes secrets en tokens voor HashiCorp Vault, Stripe en Slack. Daarnaast zoekt de malware naar allerlei soorten bestanden, waaronder SSH-keys en -configuraties, VPN-configuraties, KeePass-databases en private key-bestanden.

Cybersecuritybedrijf Socket heeft een overzicht van de getroffen packages gepubliceerd. Microsoft laat weten dat betreffende malware een 'Mini Shai-Hulud variant' is. De eerste Shai-Hulud worm werd door de criminele groepering TeamPCP gebruikt om zo npm-packages te infecteren. De groep maakte vervolgens de broncode van een variant openbaar. Hoe het account van de initieel getroffen maintainer kon worden gehackt is nog niet bekend.