Zapiers NPM-konto hacket, over 400 pakker inficeret med malware

Zapiers NPM-konto hacket og 425 pakker er blevet inficeret med Shai Hulud-malware. Angrebet kompromitterede succesfuldt Zapiers NPM-konto, hvilket førte til injektion af skadelig kode i et stort antal npm-pakker, der bruges i både udviklings- og produktionsmiljøer verden over. Angrebet påvirker kritiske infrastrukturkomponenter, udviklingsværktøjer og CI CD-miljøer og er en af de mest omfattende trusler mod forsyningskæden, der er observeret i 2025.

De inficerede pakker tilsammen genererer de cirka 132 millioner månedlige downloads, hvilket gør spredningen global og potentielt katastrofal for organisationer, der ikke aktivt overvåger deres afhængigheder eller bruger sikkerhedskontroller under installationen.

Adskillige højprofilerede projekter og organisationer er blandt de berørte, herunder AsyncAPI ENS Domains PostHog Postman og Zapier selv. De kompromitterede biblioteker bruges i alt fra API-dokumentation og analyseværktøjer til godkendelse. SDK-moduler og integrerede produktionsmiljøer, hvilket gør angrebsfladen bred og meget vanskelig at kontrollere.

Reklame

Hyppigt brugte pakker inficeret

De berørte pakker inkluderer kernebiblioteker som @zapier mcp integration @posthog nextjs @asyncapi cli og @postman secret scanner wasm. Disse findes ofte i både produktions-pipelines og udviklingsmiljøer, hvor de installeres automatisk via afhængighedsstyring, hvilket betyder, at mange organisationer kan være blevet eksponeret uden at være klar over det.

Hændelsen viser tydeligt, hvor alvorligt det er, når Zapiers NPM-konto bliver hacket og bliver en del af et større forsyningskædeangreb, der hurtigt kan sprede sig gennem afhængighedskæder og påvirke tusindvis af projekter samtidigt.

Flere af pakkerne har et kritisk eller højt risikoniveau, fordi de er indlæst i miljøer med adgang til godkendelsesnøgler, følsomme logfiler eller interne API-kald. Det betyder, at den ondsindede kodes evne til at stjæle og manipulere information er betydeligt større end ved traditionelle klientangreb.

Ormeformering og avanceret formeringsteknologi

Ifølge Aikido Security arbejder Shai Hulud Malware som en selvspredende orm, der bruger en staging-mekanisme indlejret i setup bun.js til at sprede sig til andre afhængigheder.

Når pakken er installeret, skriver ormen en indledende staging-kode til bundleAssets-funktionen og forsøger derefter at finde eller downloade Bun-runtime-miljøet. Hvis Bun findes eller kan installeres, udføres nyttelasten bun environment.js, som er det primære skadelige modul.

Teknikken viser, at angriberne har en dyb forståelse af npm-installationer og hvordan moderne build-pipelines håndterer afhængigheder. Ormen kontrollerer systemstier, forsøger at installere Bun, hvis det mangler, og manipulerer miljøvariabler for at sikre udførelse på Vinduer Linux og macOS.

Tyveri af hemmeligheder og lækkede legitimationsoplysninger

Shai Hulud er ikke kun et udførelsesværktøj, men også et avanceret modul til at stjæle følsomme data. Det udtrækker API-nøgletokens og interne hemmeligheder fra inficerede systemer og uploader dem automatisk til GitHub-arkiver med tilfældige navne og en tilbagevendende beskrivelse Sha1 Hulud Det Genkomst.

Analysen viser, at cirka 26.300 datalagre nu indeholder lækkede legitimationsoplysninger, hvilket udgør en enorm risiko for sekundære angreb. Trusselaktører kan bruge disse nøgler til at opnå adgang til cloud-infrastrukturudviklingsmiljøer, interne systemer og eksterne tjenester.

Angriberne begik adskillige kritiske fejl

Forskere har opdaget, at flere inficerede pakker kun indeholdt staging-scriptet bun.js, men manglede den primære orme-nyttelast bun environment.js, hvilket tyder på en ufuldstændig implementering eller fejlkonfiguration under angrebet.

Fraværet af den primære nyttelast begrænser angrebets direkte indvirkning, men staging-koden er stadig farlig, fordi den etablerer persistens og tillader angriber for senere at levere en fungerende nyttelast uden at skulle kompromittere pakkerne igen.

Hvorfor angrebet er så farligt for udviklingskæden

Angrebet på Zapier-pakker illustrerer, hvor sårbart økosystemet er over for afhængighedsangreb. Mange virksomheder bruger tusindvis af npm-pakker i deres CI CD-pipelines, og få har fuld kontrol over hele afhængighedstræet. Når en pakke kompromitteres, kan konsekvenserne sprede sig hurtigt gennem kodebaser og miljøer.

Organisationer, der mangler versionslåsning, automatiseret scanning eller realtidsovervågning, er i ekstra risiko, fordi inficerede pakker kan installeres automatisk med hver build.

Anbefalinger til alle udviklingsteams

At reducere risikoen bør virksomheder straks:

• Lav en oversigt over, hvilke af de berørte pakker der er i brug
• Kør alle CI CD-pipelines igennem for at finde uventede installationer
• Scan kodebaser og containere for spor af opsætnings-bun og bun-miljø
• Annuller alle godkendelsesnøgler og -tokens
• Implementer strenge politikker for afhængighedskontrol og versionslåsning
• Implementer realtidsovervågning af nye GitHub-arkiver
• Brug af værktøjer til analyse af softwarekomposition

Fremadblik og konklusion

Dette angreb fremhæver, hvor hurtigt udviklingskæden kan blive en angrebsvektor, og vigtigheden af at være proaktiv med sikkerhedspraksis. Trusselaktører er nu direkte målrettet mod udviklingsværktøjer, fordi det giver maksimal adgang og minimal detektionstid.

Virksomheder skal styrkes deres sikkerhedsmodeller med hensyn til værktøjer, pipeline-overvågning og træning. Uden en robust strategi risikerer organisationer at blive ofre for lignende angreb, selv når deres egne systemer er sikre.