Аналітики компанії CrowdSec зафіксували нову атаку на ланцюг постачання програмного забезпечення через популярний реєстр JavaScript-пакетів npm. Нападники здобули доступ до облікового запису розробника популярної бібліотеки TanStack та впровадили шкідливий код у версію пакунка, що використовується мільйонами веб-додатків по всьому світу.

Шкідливий скрипт автоматично спрацьовував під час етапу збірки проекту і викрадав змінні оточення, що містили ключі доступу до хмарних інфраструктур AWS, GCP та приватних репозиторіїв GitHub. Фахівці CrowdSec виявили, що вкрадені дані відразу відправлялися на віддалений командний сервер хакерів через зашифровані DNS-запити, що дозволяло атаці залишатися непоміченою для традиційних антивірусних засобів протягом кількох годин.