Grootschalige malware-aanval treft honderden JavaScript-pakketten, waaronder populaire cryptoprojecten

Een nieuwe aanval op het JavaScript-platform NPM heeft honderden softwarepakketten besmet met een zelfreplicerende malwareworm. Uit onderzoek van cybersecuritybedrijf Aikido Security blijkt dat zowel algemene softwareprojecten als pakketten binnen de cryptowereld zijn getroffen.

Meer dan 400 besmette pakketten ontdekt

Cyberonderzoeker Charlie Eriksen identificeerde meer dan 400 pakketten die geïnfecteerd zijn met de zogeheten Shai Hulud-worm. Deze worm verspreidt zich automatisch zodra een besmet pakket wordt geïnstalleerd en kan gevoelige gegevens verzamelen, zoals toegangscodes en inloggegevens. Veel van de getroffen pakketten worden wekelijks tienduizenden keren gedownload, wat de impact aanzienlijk maakt.

Cryptoproject Ethereum Name Service zwaar geraakt

Een groot deel van de besmettingen treft pakketten die worden gebruikt door cryptoprojecten, waaronder het Ethereum Name Service (ENS). Dit project fungeert als een soort adresboek voor crypto-wallets en rekent op veelgebruikte pakketten zoals content-hash, ensjs en address-encoder. Samen zijn deze goed voor meer dan 100.000 wekelijkse downloads. Ook het cryptogerelateerde pakket crypto-addr-codec, dat losstaat van ENS, blijkt te zijn gecompromitteerd.

Wat de malware doet

Hoewel eerdere aanvallen gericht waren op het stelen van cryptogeld, werkt de Shai Hulud-worm anders. De malware kan:

• inloggegevens en andere gevoelige informatie verzamelen
• zichzelf verspreiden naar overige systemen
• privébestanden en instellingen blootleggen

Volgens Slava Demchuk, CEO van cryptoforensisch bedrijf AMLBot, verzamelt de worm alles wat als geheim wordt opgeslagen in een ontwikkelomgeving. Hoewel er tot nu toe geen meldingen zijn van gestolen walletsleutels, worden systemen die een besmet pakket hebben gebruikt als risicovol beschouwd.

Niet alleen crypto: ook grote bedrijven getroffen

Naast cryptoprojecten zijn ook diverse niet-crypto pakketten besmet geraakt. Onder de getroffen libraries bevinden zich modules van het automatiseringsplatform Zapier, waarvan sommige meer dan 40.000 downloads per week hebben. Er is zelfs minstens één besmet pakket gevonden met meer dan 1,5 miljoen wekelijkse downloads.

Aantal besmette repositories loopt snel op

Cybersecuritybedrijf Wiz meldt dat het al meer dan 25.000 besmette repositories heeft gedetecteerd. De besmettingsgolf groeit snel: elk half uur komen er ongeveer 1.000 nieuwe geïnfecteerde repositories bij. Het bedrijf adviseert ontwikkelaars en organisaties om hun systemen onmiddellijk te controleren en besmette pakketten zo snel mogelijk te verwijderen of te vervangen.