Sâu Shai-Hulud biến việc phát hành npm thành tấn công chuỗi cung ứng

Tóm tắt AI

Bài viết mô tả chuỗi tấn công chuỗi cung ứng trên npm có khả năng tự lây lan, bắt đầu từ Shai-Hulud và các biến thể sau đó, trong đó mã độc đánh cắp thông tin xác thực, phát hành lại gói đã bị cài cắm và lan rộng mà không cần thao tác của con người. Biến thể mới nhất, ChainDrop, lợi dụng quy trình phát hành hợp lệ có chữ ký và xác nhận SLSA hợp lệ để vượt qua cơ chế kiểm tra tin cậy, đồng thời dùng smart contract trên Ethereum cho hạ tầng điều khiển.