Supply Chain атака на npm: Shai-Hulud — угроза, которая заражает проекты Недавняя атака на экосистему npm под названием Shai-Hulud привлекла внимание разработчиков по всему миру. Это масштабная supply chain атака, которая затронула более 500 пакетов, включая популярные библиотеки, такие как ngx-toastr, tinycolor, react-jsonschema-form-extras и пакеты от CrowdStrike. ❌ Заражённые пакеты содержат вредоносный скрипт bundle.js. Этот скрипт запускает TruffleHog для поиска секретных данных, таких как GitHub токены, NPM ключи или AWS креды, и отправляет их на внешний сервер. Дополнительно создаётся вредоносный workflow в папке .github/workflows, который будет автоматически запускаться при каждом CI-процессе. В итоге, атака действует как червь, распространяясь через каждый новый пакет, заражая downstream-проекты. ℹ️ Что делать разработчикам • Проверить проекты на наличие заражённых версий пакетов • Ротировать npm-токены, GitHub PAT и облачные креды, чтобы минимизировать последствия • Аудитировать CI/CD конфигурации для выявления подозрительных изменений • Обновлять пакеты только из доверенных источников, избегать использования сомнительных версий 📌 Supply chain атаки становятся всё более изощрёнными и опасными. Ранее мы переживали только за typosquatting, а теперь столкнулись с реальными «npm-червями», которые могут заразить проекты на всех уровнях. Если вы работаете с публичными пакетами, регулярный аудит зависимостей и CI/CD — теперь часть обязательной практики. 🚪 Frontender's notes