Mini Shai‑Hulud: вредоносные обновления пакетов @antv через скомпрометированный npm‑аккаунт

Коллеги, хочу обратить внимание в сфере кибербезопасности: выявлена волна атак Mini Shai‑Hulud, компрометировавшая пакеты экосистемы @antv и ряд связанных npm‑модулей.

Кратко:
- Скомпрометирован npm‑аккаунт atool — выпущено сотни троянизированных версий (639 версий в 323 пакетах).
- Стилер похищает 20+ типов учётных данных (AWS, GCP, Azure, GitHub, npm, SSH, Kubernetes, базы, Stripe) и эксфильтрирует их.
- Атака использует preinstall‑хуки, злоупотребляет npm‑токенами для автоматического републишинга и пишет данные в публичные репозитории как резерв.

Почему это важно: заражение цепочки поставок даёт широкий радиус поражения и риски автоматического подтягивания вредоносных обновлений.

Как Вы планируете усиливать защиту зависимостей и CI/CD?

#кибербезопасность #supplychain #npm #DevSecOps