Zapiers NPM-konto hacket, over 400 pakker infisert med skadelig programvare

Zapiers NPM-konto hacket og 425 pakker har blitt infisert med Shai Hulud-skadevare. Angrepet kompromitterte Zapiers NPM-konto, noe som førte til injeksjon av skadelig kode i et stort antall npm-pakker som brukes i både utviklings- og produksjonsmiljøer over hele verden. Angrepet påvirker kritiske infrastrukturkomponenter, utviklingsverktøy og CI CD-miljøer, og er en av de mest omfattende truslene mot forsyningskjeden som er observert i 2025.

De infiserte pakker genererer til sammen omtrent 132 millioner månedlige nedlastinger, noe som gjør spredningen global og potensielt katastrofal for organisasjoner som ikke aktivt overvåker avhengighetene sine eller bruker sikkerhetskontroller under installasjonen.

Flere profilerte prosjekter og organisasjoner er blant de berørte, inkludert AsyncAPI ENS Domains PostHog Postman og Zapier selv. De kompromitterte bibliotekene brukes i alt fra API-dokumentasjon og analyseverktøy til autentisering. SDK-moduler og integrerte produksjonsmiljøer, noe som gjør angrepsflaten bred og svært vanskelig å kontrollere.

Ofte brukte pakker infisert

De berørte pakkene inkluderer kjernebiblioteker som @zapier mcp integration @posthog nextjs @asyncapi cli og @postman secret scanner wasm. Disse finnes ofte i både produksjonsprosesser og utviklingsmiljøer der de installeres automatisk via avhengighetshåndtering, noe som betyr at mange organisasjoner kan ha blitt eksponert uten å være klar over det.

Hendelsen viser tydelig hvor alvorlig det er når Zapiers NPM-konto blir hacket og blir en del av et større forsyningskjedeangrep som raskt kan spre seg gjennom avhengighetskjeder og påvirke tusenvis av prosjekter samtidig.

Flere av pakkene har et kritisk eller høyt risikonivå fordi de lastes inn i miljøer med tilgang til autentiseringsnøkler, sensitive logger eller interne API-kall. Dette betyr at den ondsinnede kodens evne til å stjele og manipulere informasjon er betydelig større enn ved tradisjonelle klientangrep.

Ormeforplantning og avansert forplantningsteknologi

Ifølge Aikido Sikkerhetsarbeid Shai Hulud Skadevare som en selvspredende orm som bruker en staging-mekanisme innebygd i setup bun.js for å spre seg til andre avhengigheter.

Når pakken er installert, skriver ormen en innledende staging-kode til bundleAssets-funksjonen og prøver deretter å finne eller laste ned Bun-kjøretidsmiljøet. Hvis Bun blir funnet eller kan installeres, kjøres nyttelasten bun environment.js, som er den primære skadelige modulen.

Teknikken viser at angriperne har en dyp forståelse av npm-installasjoner og hvordan moderne byggepipeliner håndterer avhengigheter. Ormen sjekker systemstier, prøver å installere Bun hvis den mangler, og manipulerer miljøvariabler for å sikre utførelse på Vinduer Linux og macOS.

Tyveri av hemmeligheter og lekket legitimasjon

Shai Hulud er ikke bare et utførelsesverktøy, men også en avansert modul for å stjele sensitive data. Den trekker ut API-nøkkeltokener og interne hemmeligheter fra infiserte systemer og laster dem automatisk opp til GitHub-repositorier med tilfeldige navn og en tilbakevendende beskrivelse Sha1 Hulud Det andre komme.

Analysen viser at omtrent 26 300 databaser nå inneholder lekket legitimasjon, noe som utgjør en stor risiko for sekundære angrep. Trusselaktører kan bruke disse nøklene til å få tilgang til utviklingsmiljøer for skyinfrastruktur, interne systemer og eksterne tjenester.

Angriperne gjorde flere kritiske feil

Forskere har oppdaget at flere infiserte pakker bare inneholdt oppsettskriptet bun.js, men manglet den primære ormnyttelasten bun environment.js, noe som tyder på en ufullstendig utrulling eller feilkonfigurasjon under angrepet.

Fraværet av den primære nyttelasten begrenser angrepets direkte innvirkning, men staging-koden er fortsatt farlig fordi den etablerer persistens og lar angripere senere levere en fungerende nyttelast uten å måtte kompromittere pakkene igjen.

Hvorfor angrepet er så farlig for utviklingskjeden

Angrepet på Zapier-pakker illustrerer hvor sårbart økosystemet er for avhengighetsangrep. Mange selskaper bruker tusenvis av npm-pakker i sine CI CD-pipeliner, og få har full kontroll over hele avhengighetstreet. Når en pakke kompromitteres, kan konsekvensene spre seg raskt gjennom kodebaser og miljøer.

Organisasjoner som mangler versjonslåsing, automatisert skanning eller sanntidsovervåking er i ekstra faresonen fordi infiserte pakker kan installeres automatisk med hver build.

Anbefalinger for alle utviklingsteam

Å redusere risikoen bør selskaper øyeblikkelig:

• Lagre en oversikt over hvilke av de berørte pakkene som er i bruk
• Kjør gjennom alle CI CD-pipelines for å finne uventede installasjoner
• Skann kodebaser og containere for spor av oppsett-bun og bun-miljø
• Tilbakestill alle autentiseringsnøkler og tokener
• Implementer strenge retningslinjer for avhengighetskontroll og versjonslåsing
• Implementer sanntidsovervåking av nye GitHub-repositorier
• Bruk av verktøy for analyse av programvaresammensetning

Fremtidsblikk og konklusjon

Dette angrepet fremhever hvor raskt utviklingskjeden kan bli en angrepsvektor og viktigheten av å være proaktiv med sikkerhetspraksis. Trusselaktører retter seg nå direkte mot utviklingsverktøy fordi det gir maksimal tilgang og minimal deteksjonstid.

Bedrifter må styrke seg sikkerhetsmodellene sine når det gjelder verktøy, pipeline-overvåking og opplæring. Uten en robust strategi risikerer organisasjoner å bli ofre for lignende angrep selv når deres egne systemer er sikre.