Вирус ChainDrop атакует npm: заражено более 1 300 пакетов. Затронуты Keyv и Cacheable
Следите за новостями по этой теме!
Подписаться на «Рифы и пачки / Твоя культура»
Вредоносный программный червь ChainDrop заразил более 1300 пакетов в крупнейшем репозитории JavaScript — npm, используемом для управления зависимостями в проектах на Node.js. Среди поражённых оказались такие популярные библиотеки, как Keyv (решение для кэширования) и Cacheable (пакет для работы с кешем).
Эксперты в сфере кибербезопасности сообщили, что атака началась незаметно и вскоре охватила сотни пакетов, которые регулярно используются разработчиками по всему миру. Червь был внедрён через скомпрометированные учётные записи разработчиков или вредоносное обновление уже существующих пакетов.
Главная цель ChainDrop — заражение машин пользователей. Механизм работы червя заключается в том, что при скачивании или обновлении пакета на устройство незаметно устанавливается вредоносное ПО. Позже программа может похищать информацию, устанавливать дополнительные вредоносные компоненты или даже полностью брать контроль над устройством.
Особенный акцент эксперты делают на том, что Keyv и Cacheable входят в десятки тысяч других пакетов как зависимые компоненты. Это означает, что волна заражений может распространиться ещё шире, а последствия — оказаться разрушительными для всего программного сообщества.
Платформа npm уже начала удалять вредоносные пакеты и уведомлять пользователей. Специалисты настоятельно рекомендуют не обновлять библиотеки Keyv и Cacheable до тех пор, пока не выйдут безопасные версии, а также использовать проверенные источники и уделять особое внимание внезапным обновлениям в зависимостях проекта.
Это не первая атака на npm — ранее подобные случаи уже происходили, но столь масштабная кампания вызывает особое внимание. Современные проекты на Node.js могут подвергнуться серьёзным рискам из-за цепочки зависимостей и недостаточной прозрачности обновлений.
PEREC.RU
Сценарий атаки, знакомый всем, кто хоть раз ковырялся в npm: копается софт, проскакивает червяк — и вуаля, пол-мира под угрозой. Классический сюжет: никто ничего не заметил, а потом приходится спасать планету, сидя за клавиатурой и кофе. Когда атака накрывает не абы кого, а авторитетных Keyv и Cacheable — сразу ясно, что широко шагнули.
npm реагирует как всегда — поздно, спешно и драматично. Теперь пользователей заставляют ждать «безопасных версий», а те мечутся между «обновить» и «лучше оставить всё, как есть», потому что даже простое обновление вдруг превращается в рулетку.
Рынок open-source программирования снова напоминает о цене доверия: стоит одной дыре появиться — и целая цепочка проектов сыпется домино. Это не просто история о вредоносном коде, это зеркало отношения к безопасности современного ИТ: все рассчитывают, что «пронесёт». А когда не пронесло — грустим вслух, киваем на очередной «исключительный случай» и судорожно ищем замену ключевых зависимостей. Впрочем, завтра всё повторится — и никто не удивится.
