Открита мащабна supply-chain атака срещу SAP екосистемата
Четири официални npm пакета, свързани със SAP, са били компрометирани в предполагаема supply-chain атака, приписвана с висока вероятност на групата TeamPCP.
Засегнатите пакети са част от Cloud Application Programming Model (CAP) и Cloud MTA екосистемата, широко използвани в enterprise разработка.
Засегнати пакети
Компрометираните версии вече са маркирани като deprecated в npm:
- @cap-js/sqlite – v2.2.2
- @cap-js/postgres – v2.2.2
- @cap-js/db-service – v2.10.1
- mbt – v1.2.48
Тези компоненти се използват в среди за разработка и CI/CD процеси, което прави атаката особено опасна.
Как работи атаката
Изследвания на Aikido и Socket показват, че злонамерен код е добавен чрез preinstall script, който се изпълнява автоматично при инсталация на пакета.
Веригата на заразяване включва:
- стартиране на loader (
setup.mjs) - изтегляне на Bun runtime от GitHub
- изпълнение на обфускиран payload (
execution.js)
Какво краде зловредният код
Малуерът е информационен крадец, насочен към разработчици и CI/CD среди. Той извлича:
- npm и GitHub токени
- SSH ключове и локални credentials
- облачни ключове (AWS, Azure, Google Cloud)
- Kubernetes secrets
- CI/CD променливи и pipeline данни
В някои случаи атаката включва и директно четене на паметта на CI runner процесите, за да се заобиколят лог ограниченията.
Разширени техники за ексфилтрация
На CI системи malware-ът използва Python скрипт за достъп до /proc/<pid>/mem, извличайки чувствителни данни директно от паметта на процесите.
Това поведение е сходно с предишни supply-chain атаки, свързвани с Bitwarden и Checkmarx инциденти.
Екфилтрация и разпространение
Откраднатите данни се:
- криптират
- качват в публични GitHub репозитории
- използват като механизъм за по-нататъшно разпространение
Репозиториитe съдържат характерни описания като „A Mini Shai-Hulud has Appeared“, вече наблюдавани и в други кампании.
Dead-drop механизъм и самовъзпроизвеждане
Атаката използва GitHub commit търсения като скрит комуникационен канал. Специални commit съобщения се използват за:
- извличане на токени
- декодиране на достъп
- разширяване на компрометираните акаунти
Освен това malware-ът се опитва да се самовъзпроизвежда, като модифицира други достъпни пакети и репозитории.
Възможен първоначален пробив
Според изследователи, компрометирането може да е резултат от изтекъл npm токен, потенциално чрез неправилно конфигуриран CI процес (например CircleCI).
Случаят показва класически supply-chain модел: един компрометиран publishing канал в SAP екосистемата може да доведе до масово изтичане на идентификационни данни и компрометиране на облачни инфраструктури.
