Исследователи безопасности зафиксировали новую волну атак вредоносного ПО Shai-Hulud, в ходе которой злоумышленники скомпрометировали более 600 пакетов в реестре npm.

В рамках этой кампании хакеры опубликовали зараженные версии пакетов, которые затронули свыше 300 проектов. В зону поражения попала экосистема AntV, популярные React-библиотеки, а также инструменты для CI/CD-сред.

Атака Shai-Hulud, названная в честь монстра из «Дюны», нацелена на экосистему JavaScript и использует технику путаницы зависимостей (dependency confusion). Злоумышленники загружают пакеты с именами, совпадающими с внутренними модулями компаний, чтобы перехватить их в процессе сборки.

Ранее подобные инциденты уже приводили к компрометации сотен пакетов, но нынешняя волна отличается масштабом и количеством затронутых проектов. Исследователи продолжают анализировать цепочку заражения и рекомендовать разработчикам проверять свои зависимости.

Ожидается, что владельцы npm-реестра усилят меры модерации, чтобы предотвратить дальнейшее распространение вредоносных версий в будущем.