A Shai-Hulud visszatért: a ChainDrop féreg megtámadta az npm-et, és több száz csomagot fertőzött meg

2026. augusztus 4-én egy támadó átvette a „keyv” – egy olyan kulcs-érték tároló könyvtár, amelynek heti npm-letöltései nagyjából százmillióra rúgnak – karbantartójának GitHub-fiókját, és beépített egy hitelesítő adatokat ellopó férget a karbantartó teljes csomagcsaládjába, beleértve a „cacheable”, „flat-cache”, „file-entry-cache” és „cache-manager” csomagokat is. A ChainDrop néven nyomon követett féreg több száz további csomagra terjedt át, amelyek együttesen havi szinten több mint kétmilliárd telepítést értek el.

A veszélyt nem a letöltések száma jelenti, hanem az, hogy a rosszindulatú kód hogyan nyerte el a felhasználók bizalmát. A támadó a projekt saját automatizált kiadási folyamatán keresztül tette közzé a kódot, így a megfertőzött verziók érvényes eredetigazolással rendelkeztek: aláírt bizonyítékkal arról, hogy a csomagot a hivatalos folyamat állította elő a valódi forráskódból. Ez a bizonyíték biztonsági jelzésként szolgál. Ebben az esetben hiteles volt, mivel maga a folyamat is kompromittálódott. Egy fejlesztő vagy az aláírást ellenőrző biztonsági eszköz számára a rosszindulatú verzió teljesen hitelesnek tűnt.

A ChainDrop az a legújabb hullám, amelyet a kutatók 2025 szeptembere óta nyomon követnek: Shai-Hulud 1.0 (2025. szeptember), 2.0 (2025. november) és Mini Shai-Hulud, negyedik hullám (2026. május). Mindegyik hullám egyre súlyosabbá vált, az újabb változatok pedig agresszívabb terjedési módszerekkel és szélesebb körű ellátási lánc-sebezhetőségek kihasználásával jártak.

• Dátum: 2026. augusztus 4-én közzétették, hogy a „keyv@6.0.0” a megerősített kiindulási pont.

• A behatolás kiindulópontja: A támadás egy feltört GitHub-fiókkal kezdődött, amely a projekt egyik karbantartójához tartozott, és a rosszindulatú kiadás a projekt hivatalos közzétételi folyamatán keresztül került terjesztésre.

• Mérték: A számok a nyomkövetőktől függően eltérnek, de minden jelentés egyetért abban, hogy ez egy rendkívül súlyos npm-ellátási láncbeli incidens volt. A StepSecurity kezdetben 435 csomagról és 1 557 verzióról számolt be, míg az Aikido és a későbbi jelentések ennél magasabb összszámot adtak meg; egyes becslések szerint több mint 1 300 csomagról és havi szinten körülbelül 2 milliárd letöltésről volt szó.

• Hasznos terhelés: Van egy előre telepített útvonal a setup.mjs fájl használatával, amely letölti a Bun programot, majd elindít egy nagy méretű, kódolt, hitelesítőadatokat ellopó hasznos terhelést.

• Hivatkozás: A kutatók a Shai-Hulud kártevőcsaládba sorolják.

A ChainDrop esetében különösen aggasztó az a tény, hogy nem valami feltűnő biztonsági résre vagy hamis letöltési oldalra támaszkodott. Ehelyett a szokásos szoftverellátási láncot használta ki – ugyanazt a csomagközzétételi és telepítési folyamatot, amelyet több millió fejlesztő is alkalmaz.

A gyakorlatban ez azt jelenti, hogy egy csomag látszólag legitimnek tűnhet, miközben észrevétlenül rosszindulatú kódot rejt magában, amely a telepítés során aktiválódik. A biztonsági szakértők szerint a kártevőt arra tervezték, hogy titkos adatokat lopjon el a fejlesztők gépeiről és a CI/CD-rendszerekből, ideértve a GitHub-tokeneket, az npm-hitelesítő adatokat, az AWS-kulcsokat, a Kubernetes-titkokat és egyéb hozzáférési adatokat.

Az általánosabb kockázat nem korlátozódik a fejlesztőkre. Bármely szervezet, amely az érintett csomagokat használja, közvetve ki lehet téve a biztonsági résnek a fordítási rendszerek, a függőségek és az automatizált kiadási folyamatok révén.

A ChainDrop arra emlékeztet, hogy a nyílt forráskódú függőségek üzleti kockázatot jelentenek, és nem csupán a fejlesztőket érintő kérdés.

Minden olyan szervezet számára, amely JavaScript-re és Node.js-re támaszkodik, a ChainDrop arra emlékeztet, hogy a nyílt forráskódú függőségek üzleti kockázatot jelentenek, és nem csupán a fejlesztők problémája.

Egy sérült csomag a függőségek és a fordítási rendszerek révén közvetett módon is bekerülhet a rendszerbe, ami a hitelesítő adatok ellopásához, a felhőalapú infrastruktúrához való jogosulatlan hozzáféréshez, valamint nagyszabású titkos kulcsok cseréjéhez és incidenskezeléshez vezethet. Amennyiben a szoftver integritása, a hozzáférés-ellenőrzés és a harmadik felekből származó kockázatok az Ön ellenőrzési környezetébe tartoznak – ahogyan az a PCI DSS, a DORA, a NIS2 és a CMMC előírásai szerint is van –, akkor ez a kockázat egyértelműen a megfelelés és az irányítás területét is érinti.

Ha 2026. augusztus 4-én vagy azt követően telepített egy érintett csomagot:

• A függőségek ellenőrzése: SBOM létrehozása és a függőségek összehasonlítása az ismert rosszindulatú verziókkal

• Kép a visszavonás előtt: Készítsen képet az érintett rendszerekről, mielőtt a tokeneket cserélné. A kártevő szoftver figyeli a hitelesítő adatok visszavonását, és ha Ön előbb cseréli ki a tokeneket, akkor elindíthat egy kezelőprogramot.

• A nyilvánosságra került titkos adatok rotálása: Minden elérhető titkos adatot (npm-tokent, GitHub PAT-kódokat, SSH-kulcsokat, felhőszolgáltatási hitelesítő adatokat) rotáljon, és kötelezővé tegye a többfaktoros hitelesítést (MFA)

• Pontos verzió alapján történő ellenőrzés, nem név alapján: A pontos, feloldott verzió alapján történő egyezés , nem a csomag neve alapján; az incidens során a nyilvántartási címkék eltolódtak

• Távolítsa el a repo-szintű hookokat: Ellenőrizze a .claude/settings.json és a .vscode/tasks.json fájlokat, ne csak a node_modules mappát!

• CI/CD-ellenőrzés: Ellenőrizze a CI/CD-t és a GitHub Actions-t váratlan közzétételek vagy új munkafolyamatok szempontjából

A tanulság az, hogy az ilyen típusú támadások elleni hatékony védekezés az, ha megvizsgáljuk, hogy egy komponens mit tartalmaz, ahelyett, hogy a származási helyére támaszkodnánk.