Newsletter Subscribe
Enter your email address below and subscribe to our newsletter
[forminator_form id="25163"]
All voices matter
Microsoft-ը կրճատում է API բանալիների գործողության ժամկետը հյուսիսկորեական npm հարձակումից հետո
- Microsoft-ը օգոստոսի 4-ին հայտարարեց, որ կկրճատի NuGet.org API բանալիների գործողության ժամկետը այն բանից հետո, երբ հյուսիսկորեացի հաքերները թունավորեցին Mastra AI շրջանակի 131 փաթեթ npm-ում:
helpnetsecurity+1 - CrowdStrike-ը օգոստոսի 3-ին հայտնեց, որ 2026 թվականի առաջին կիսամյակում ծրագրային ապահովման ռեեստրի սպառնալիքների 87%-ը ներառում էր npm փաթեթներ, ընդ որում AI խողովակաշարերն այժմ ուղղակի թիրախներ են:
cybersecuritydive+1 - Մշակողներին, ովքեր տեղադրել են ցանկացած @mastra փաթեթ հունիսի 17-ին կամ դրանից հետո, անվտանգության մի քանի ընկերություններ հորդորել են անհապաղ փոխել բոլոր հավատարմագրերը:
snyk+1
Հյուսիսային Կորեայի հետ կապված հաքերային խումբը վտանգել է ավելի քան 130 փաթեթ Mastra AI շրջանակում npm-ում՝ JavaScript փաթեթների ռեեստրում, որը պատկանում է Microsoft-ին GitHub-ի միջոցով, ինչը անվտանգության մի քանի ընկերություններ անվանել են 2026 թվականի ամենամեծ բաց կոդով մատակարարման շղթայի հարձակումներից մեկը:
Հարձակումը
CrowdStrike Holdings-ը նույնականացրել է խմբին, որը հետևվում է որպես Stardust Chollima, որպես 131 վստահելի Mastra AI շրջանակի փաթեթներում վնասակար կախվածություն ներարկած խումբ, ըստ ընկերության 2026 թվականի սպառնալիքների որոնման զեկույցի, որը հրապարակվել է օգոստոսի 3-ին: Microsoft-ի սեփական հետաքննությունը, որը հրապարակվել է հունիսի 17-ին, հարձակումը վերագրել է Sapphire Sleet կոչվող խմբին և բացահայտել ավելի քան 140 տուժած փաթեթ:microsoft+3
Հարձակվողները օգտագործել են գողացված պահպանողի հավատարմագրերը՝ ամբողջ @mastra npm շրջանակը վերահրապարակելու համար՝ ավելացնելով նախկինում անհայտ «easy-day-js» կոչվող կախվածությունը, որն աշխատում էր տեղադրման ժամանակ: Վնասակար կոդը անջատել է անվտանգության ստուգումները, միացել է հարձակվողների կողմից վերահսկվող սերվերներին և առաքել վնասակար ծրագրեր, որոնք ուղղված են կրիպտոարժույթի դրամապանակներին, ներառյալ MetaMask-ը, Phantom-ը և Coinbase Wallet-ը: Անվտանգության Snyk ընկերությունը հայտնել է, որ վտանգված փաթեթները տեղադրվել են 30 րոպեից պակաս ժամանակում:linkedin+2
Մատակարարման շղթայի նոր միջոցառումներ
Խախտումը դրդել է Microsoft-ին խստացնել անվտանգությունը իր մշակողների էկոհամակարգում: Օգոստոսի 4-ին ընկերությունը հայտարարեց, որ կկրճատի NuGet.org API բանալիների գործողության ժամկետը 365 օրից մինչև 30 օր՝ սկսած օգոստոսի 17-ից՝ որպես դրդապատճառ նշելով Mastra-ի վտանգումը և NX Console npm փաթեթի վրա առանձին հարձակումը: Microsoft-ը նաև մշակողներին ուղղորդում է դեպի իր Trusted Publishing համակարգը, որը ներկայացվել է 2025 թվականի սեպտեմբերին, որը մշտական API բանալիները փոխարինում է ժամանակավոր OpenID Connect նշաններով:helpnetsecurity
CrowdStrike-ի զեկույցը պարզել է, որ 2026 թվականի առաջին կիսամյակում ծրագրային ապահովման ռեեստրի սպառնալիքների 87 տոկոսը ներառում էր npm փաթեթներ: Amazon-ը հուլիսի վերջին առանձին հաստատեց, որ հյուսիսկորեական խմբերի հետ կապված մատակարարման շղթայի հարձակումները աճել են ինչպես ծավալով, այնպես էլ բարդությամբ:finance.yahoo+2
Արդյունաբերության հետևանքները
Միջադեպը ընդգծում է Microsoft-ի մշակողների բիզնեսի հիմքում ընկած լարվածությունը. ընկերությունը տիրապետում է ռեեստրի ենթակառուցվածքին, որտեղ տեղի է ունեցել հարձակումը, և միաժամանակ վաճառում է անվտանգության գործիքներ, որոնք նախատեսված են այն հայտնաբերելու համար: Microsoft Defender Antivirus-ը, Defender for Endpoint-ը և Defender XDR-ը այժմ ունեն Mastra-ի վնասակար ծանրաբեռնվածության հայտնաբերման հնարավորություններ:microsoft
CrowdStrike-ը, որը 2027 ֆինանսական տարվա առաջին եռամսյակում հայտնել է 1.39 միլիարդ դոլարի եկամուտ՝ տարեկան 26 տոկոս աճով, բացահայտումները ներկայացրել է որպես ապացույց այն բանի, որ AI մշակման խողովակաշարերն այժմ պետական դերակատարների ուղղակի թիրախներն են: «Հակառակորդները թիրախավորում են վստահելի օգտատերերին և գործիքներին ինքնության համակարգերում, ամպային միջավայրերում, SaaS հավելվածներում, AI ծառայություններում, ծրագրային ապահովման մատակարարման շղթաներում», — ասվում է ընկերության զեկույցում:crowdstrike+2
Մշակողներին, ովքեր տեղադրել են ցանկացած @mastra փաթեթ 2026 թվականի հունիսի 17-ին կամ դրանից հետո, անվտանգության մի քանի ընկերություններ խորհուրդ են տվել իրենց մեքենաները համարել վտանգված և անհապաղ փոխել բոլոր հավատարմագրերը:snyk+1
Աղբյուրներ (16)
- 1 Microsoft shortens NuGet API key lifetime to improve ... www.helpnetsecurity.com
- 2 131 Poisoned AI Packages Hit Microsoft's (MSFT) npm. CrowdStrike (CRWD) Couldn't Ask for a Better Sales Pitch finance.yahoo.com
- 3 AI widely used to exploit critical flaws, disrupt supply chains www.cybersecuritydive.com
- 4 CrowdStrike 2026 Threat Hunting Report: AI is Now Embedded Across ... www.crowdstrike.com
- 5 Mastra npm Scope Takeover | Snyk snyk.io
- 6 Mastra npm Org Compromised: Multiple Packages Trojanized to ... www.endorlabs.com
- 7 From package to postinstall payload: Inside the Mastra npm supply chain ... www.microsoft.com
- 8 CrowdStrike finds AI systems under direct attack as exploit windows shrink siliconangle.com
- 9 North Korean Hackers Blamed for Mastra NPM Supply Chain Attack www.securityweek.com
- 10 North Korean Hackers Poison npm Packages with Malware www.linkedin.com
- 11 Mastra npm Supply Chain Attack: 140+ Packages Backdoored via easy-day ... www.stepsecurity.io
- 12 Amazon identifies North Korean hacker group behind open-source ... aws.amazon.com
- 13 CrowdStrike 2026 Threat Hunting Report: Exploitation Window Closes ... www.crowdstrike.com
- 14 npm Supply Chain Attack: North Korea Hits Mastra AI [2026] - Tech Insider tech-insider.org
- 15 North Korea-Linked npm Packages Mimic Rollup Polyfills to Steal ... thehackernews.com
- 16 Mastra package supply chain attack: what did practitioners miss? nhimg.org
