Ondsinnet @subql/common 5.8.3 på npm lette etter skynøkler, SSH og .claude.json

Sikkerhetsselskapet StepSecurity oppdaget 5. oktober at versjon 5.8.3 av npm-pakken @subql/common inneholdt en skjult nyttelast som samler inn legitimasjon og åpner et skall mot en ekstern server. Pakken er et delt bibliotek i SubQuery, et rammeverk for indeksering av Web3-data. Versjonen ble publisert 11.56 UTC og var en periode latest-taggen på npm. StepSecurity meldte funnet i issue #3047 i SubQuery-repoet på GitHub. Nå er 5.8.3 fjernet fra npm-registeret, og latest peker igjen på 5.8.2. Uka før angrepet hadde pakken 4 380 nedlastinger.

Nyttelasten lå ikke i kildekoden. Commit 506863d la inn et steg i publiseringsworkflowen som lastet ned en ferdig tarball fra domenet ci-artifacts.dev og byttet ut den byggede pakken rett før yarn npm publish, uten hash- eller signaturkontroll. Fordi pakken gikk gjennom prosjektets trusted publisher (GitHub Actions OIDC), så den legitim ut. Begge commitene lå på en midlertidig gren, og ifølge StepSecurity pekte main fortsatt på foreldrecommiten da selskapet samlet inn bevisene.

Skadevaren starter på to måter: via et postinstall-skript og når koden importeres. En fil kalt manifest-cache.js holder 459 base64-strenger som dekodes med rullende XOR og gunzip til 83 KB JavaScript, som så kjøres i en frakoblet barneprosess.

«Å slå av install-skript er ikke nok, fordi også import av pakken starter nyttelasten.» — StepSecurity

Innsamleren tar med hele miljøet, utdata fra gh auth token, SSH-nøkler, .npmrc, .env, AWS-, GCP- og Azure-legitimasjon, Kubernetes- og Vault-hemmeligheter og kryptolommebøker. På Linux og macOS står også KI-verktøyenes oppsett på lista, blant annet .claude.json og MCP-innstillingene til Kiro. Filene leses i sin helhet, ikke bare strenger som ligner nøkler. Alt krypteres med AES-256-GCM og sendes til ci-artifacts.dev.

Finner skadevaren et GitHub-token med workflow-tilgang, prøver den å pushe grenen dependabot/github_actions/format/setup-formatter med en workflow kalt «Run Copilot» som dumper alle Actions-hemmeligheter til en artefakt, blant opptil 100 repoer tokenet kan pushe til. StepSecurity presiserer at dette er kapasiteter i koden, ikke bevis på at noe faktisk er stjålet.

Du trenger ikke å ha installert @subql/common direkte. @subql/cli 6.6.3 og @subql/node-core 19.3.1 krever ~5.8.2, og det versjonsområdet tillater 5.8.3. Av 77 @subql-pakker StepSecurity gikk gjennom, hadde 19 en mulig vei til den ondsinnede versjonen.

StepSecurity-forskeren som åpnet issuet, er tydelig på hva som gjelder for dem som fikk inn versjonen:

«Behandle maskinen eller CI-runneren som kompromittert.» — StepSecurity i GitHub-issue #3047

Hva bør du gjøre?

1. Kjør npm ls @subql/common eller søk i lockfilene etter versjon 5.8.3, også som transitiv avhengighet via @subql/cli og @subql/node-core.
2. Ble versjonen installert eller importert: isoler maskinen eller runneren, og rotér GitHub-, npm-, sky-, SSH-, Kubernetes- og Vault-nøkler. Å avinstallere pakken stopper ikke en prosess som allerede kjører.
3. Bytt også API-nøklene som ligger i .claude.json, MCP-oppsett og andre KI-verktøy på samme maskin.
4. Blokker ci-artifacts.dev, og let etter grenen dependabot/github_actions/format/setup-formatter og uventede workflow-kjøringer i repoene dine.

Lista over filer en npm-tyv ser etter, omfatter nå konfigurasjonen til kodeagentene, og der ligger ofte nøkler med bred tilgang.