- Компромис од 300 пакуетес ен нпм и ПиПИ садржи малициозне верзије.
- Робо де цреденциалес цритицас де АВС, ГитХуб и цлавес ССХ медијанте скрипти за инсталацију.
- Импацто цонфирмадо ен Гигантес Тецнологицос Цомо ОпенАИ и Мистрал АИ.
- Рецомендационес ургентес де ротацион де сецретос и аудиториа де лоцкфилес пара десарролладорес.
Ел ецосистема дел цодиго абиерто се енцуентра ен ун моменто цритицо дебидо а уна нова олеада цибератака назван Мини Шај-Хулуд. Ово је злонамерни софтвер, куе се пропага а травес де ла цадена де суминистро, ха лоградо инфецтар циентос де библиотецас ен нпм и ПиПИ, цонвиртиендосе ен уна аутентица песадилла пара куиенес цонфиан циегаменте ен лас депенденциес.
Ло мас инкуиетанте де есте инциденте ес куе но се трата де ун еррор пунтуал, сино де уна операцион цоординада и софистицада. Ел малваре ацтуа цаси цомо ун гусано, салтандо де ун проиецто а отро ал цомпрометер цуентас де мантенедорес легитимос, ло куе пермите куе ел цодиго малициосо се дистрибуиа бајо ел селло де цонфианза де десарролладорес реалес.
Мецаница дел атакуе и модус операнди
Ел процесо цомиенза цуандо лос атацантес логран преузети контролу над рачуном де ун мантенедор (цомо оцуррио цон ел усуарио 'атоол'). Уна вез дентро, публицан версионес алтерадас де пакуетес популарес. Ал моменто де инсталар ла либрериа, ун сцрипт де пост-инсталатион се ејецута аутоматицаменте, син куе ел усуарио тенга куе хацер нада, ацтивандо ел паилоад малициосо.
Уна вез ацтиво, ел малваре се поне манос а ла обра есцанеандо ел систем ен бусца де сецретос и променљиве де енторно. Посебан центар за токене за ексфилтрирање ГитХуб-а, клавове ССХ-а и акредитиве сервиса и нубе као што су АВС, ГЦП или Азуре. Укључује конфигурацију бусцара херрамиентас де ИА аванзадас као Цодек или Цлауде Цоде.
Пара евитар сер детецтадос, лос циберделинцуентес утилизан тецницас де екфилтрацион вариадас, енвиандо ла информацион робада а травес де доминиос куе имитан а лос оригиналес (типоскуаттинг) или медианте “деад дропс” ен репозиториос публиц де ГитХуб, цифрандо лос датос цон алгоритмос РСА-4096 пара куе пасен десапер.
Импацто ен ла индустриа и емпресас афецтадас
Ла магнитуд дел дано ес значајан, афецтандо а намеспацес муи утилизадос цомо @танстацк, @мистралаи и @уипатх. Естос пакуетес сон фундаменталес ен милес де аплицационес де Реацт и флујос де аутоматизацион емпресариал, ло куе мултиплица екпоненциалменте ел нумеро де енторнос вулнераблес.
Грандес номбрес иа хан пасадо фацтура. ОпенАИ адмитио куе дос диспоситивос интернос фуерон цомпрометидос, дозволите приступ алгунос репоситориос де цодиго. Пор су парте, Мистрал АИ суфрио ла сустраццион де циентос де репоситориос дебидо а куе ел малваре се цамуфло цомо уна либрериа од Hugging Face на PyPI.
Пара лас стартупс, еспециалменте ен Шпанија и остатак Европе, есто ес ун ависо серио. Дебидо а ла пресион пор ланзар продуцтос рапидо, муцхас вецес се инсталан депенденциас син уна ревисион екхаустива, дејандо ла пуерта абиерта а куе ун токен робадо цомпромета тода ла инфраеструцтура де продуцтион о ла фацтурацион де ла нубе.
Медидас де митигацион и протеццион
Си трабајас ен ун енторно де десарролло, но те куедес де бразос црузадос. Ло примеро и мас ургенте ес ротирајте све акредитиве генерадас антес де маио де 2026, асумиендо куе цуалкуиер сецрето алмаценадо ен ЦИ/ЦД подриа естар иа ен манос ајенас.
Неопходно је извршити а аудиториа профунда де лос лоцкфилес (као пакет-лоцк.јсон) за проверу да нема постојећих верзија објављених публикација и критика. Адемас, се рецомиенда енцарецидаменте ел усо де ла бандера --ignore-scripts дуранте ла инсталацион ен енторнос сенсиблес пара блокуеар ла ејецуцион де сцриптс малициосос.
А ларго плазо, имплементар херрамиентас де анализа понашања Цомо Соцкет.дев о Сник ес витал, иа куе ел цомандо традиционал npm audit соло детецта вулнерабилидадес иа цаталогадас, перо но ес цапаз де идентифицар малваре нуево или патронес де екфилтрацион у реалном времену
Есте инциденте поне де релиеве куе ла цонфианза ен ел софтваре либре дебе ир ацомпанада де уна естратегиа де сегуридад ригуроса. Ла цомбинацион де фијар версионес екацтас де лас депенденциас, ацтивар ел МФА ен тодас лас цуентас де публицацион и генерар инвентариос де софтваре (СБОМ) сон пасос облигаториос пара евитар куе ла инфраеструцтура де уна емпреса се цонвиерта ен ел сигуиенте аутоматизада цамп.
