Microsoft kutter levetiden for API-nøkler etter nordkoreansk npm-angrep

En hackergruppe med koblinger til Nord-Korea har kompromittert over 130 pakker i Mastra AI-rammeverket på npm, JavaScript-pakke-registeret som eies av Microsoft ↘ 1.09% gjennom GitHub, i det flere sikkerhetsselskaper kaller et av de største angrepene på åpen kildekode-forsyningskjeder i 2026.

Angrepet

CrowdStrike Holdings ↘ 0.64% identifiserte gruppen, som spores som Stardust Chollima, for å ha injisert en skadelig avhengighet i 131 betrodde Mastra AI-rammeverkpakker, ifølge selskapets 2026 Threat Hunting Report publisert 3. august. Microsofts egen etterforskning, publisert 17. juni, tilskrev angrepet en gruppe de kaller Sapphire Sleet og identifiserte over 140 berørte pakker.microsoft+3

Angriperne brukte stjålet påloggingsinformasjon fra vedlikeholdere for å publisere hele @mastra npm-omfanget på nytt, og la til en tidligere ukjent avhengighet kalt "easy-day-js" som ble kjørt under installasjon. Den skadelige koden deaktiverte sikkerhetskontroller, koblet seg til angriperkontrollerte servere og leverte skadevare rettet mot kryptovaluta-lommebøker som MetaMask, Phantom og Coinbase Wallet. Sikkerhetsselskapet Snyk rapporterte at de kompromitterte pakkene ble publisert på under 30 minutter.linkedin+2

Nye tiltak for forsyningskjeden

Bruddet har fått Microsoft til å stramme inn sikkerheten i hele utviklerøkosystemet. Den 4. august kunngjorde selskapet at de vil redusere levetiden for NuGet.org API-nøkler fra 365 dager til 30 dager fra og med 17. august, med henvisning til Mastra-kompromitteringen og et separat angrep på NX Console npm-pakken som utløsende hendelser. Microsoft presser også utviklere mot sitt Trusted Publishing-system, introdusert i september 2025, som erstatter permanente API-nøkler med midlertidige OpenID Connect-tokens.helpnetsecurity

CrowdStrikes rapport fant at 87 prosent av identifiserte trusler mot programvareregistre i første halvdel av 2026 involverte npm-pakker. Amazon bekreftet separat i slutten av juli at forsyningskjedeangrep knyttet til nordkoreanske grupper hadde økt i både omfang og sofistikering.finance.yahoo+2

Konsekvenser for bransjen

Hendelsen understreker en spenning i kjernen av Microsofts utviklervirksomhet: selskapet eier registerinfrastrukturen der angrepet skjedde, og selger samtidig sikkerhetsverktøyene designet for å oppdage det. Microsoft Defender Antivirus, Defender for Endpoint og Defender XDR har nå deteksjoner for Mastra-nyttelasten.microsoft

CrowdStrike, som rapporterte en omsetning på 1,39 milliarder dollar i første kvartal 2027, en økning på 26 prosent fra året før, presenterte funnene som bevis på at AI-utviklingspipelines nå er direkte mål for nasjonalstatsaktører. "Motstandere retter seg mot betrodde brukere og verktøy på tvers av identitetssystemer, skymiljøer, SaaS-applikasjoner, AI-tjenester og programvareforsyningskjeder," uttalte selskapet i sin rapport.crowdstrike+2

Utviklere som installerte en @mastra-pakke den 17. juni 2026 eller senere, har blitt rådet av flere sikkerhetsselskaper til å behandle maskinene sine som kompromitterte og rotere all legitimasjon umiddelbart.snyk+1