De nieuwe worm genaamd ChainDrop verspreidt zich momenteel door routine software-installaties te misbruiken, met als doel inloggegevens te stelen. De worm verbergt zich binnen legitieme pakketreleases en voegt tijdens de installatie een dropper en een versleutelde payload toe, terwijl de originele code intact blijft. Hierdoor functioneren de gecompromitteerde pakketten nog steeds naar behoren, waardoor teams mogelijk niet beseffen dat een update ongemerkt een toegangspad heeft geopend.

Na installatie kan de malware stil opereren op een werkstation of binnen een continuous integration job. Het verzamelt een breed scala aan gevoelige informatie, waaronder npm- en GitHub-tokens, cloudinloggegevens, SSH-sleutels, omgevingsbestanden en configuratiegegevens van ontwikkelaarstools. Bovendien richt de worm zich op tijdelijke geheimen in het geheugen van GitHub Actions runners, waarbij informatie wordt benaderd die mogelijk nooit als een regulier bestand wordt opgeslagen.

ChainDrop gebruikt vervolgens publicatietokens om pakketten te identificeren die een gecompromitteerd account kan updaten. Het voegt kwaadaardige componenten toe, verhoogt het versienummer van de patch en publiceert de pakketten opnieuw. Dit proces creëert persistentie in projectinstellingen voor code-editors en AI-ondersteunde ontwikkelingstools, waardoor het openen van een project de malware kan activeren, zelfs na de oorspronkelijke installatie. ChainDrop kan publieke repositories aanmaken onder de accounts van slachtoffers als extra kanaal voor het afvoeren van gestolen gegevens.

De campagne verspreidt zich via vertrouwde publicatieaccounts; een geïnfecteerd pakket zoekt tijdens de installatie naar waardevolle toegangstokens en gebruikt gestolen npm-inloggegevens om verdere pakketten te wijzigen en opnieuw te publiceren. Dit geautomatiseerde proces stelt één gecompromitteerde ontwikkelaar of build runner in staat om aanzienlijke aantallen downstreamgebruikers te beïnvloeden.

De operatie heeft meer dan 400 npm-pakketten geïnfecteerd, wat ontwikkelaarslaptops, buildsystemen en cloudomgevingen in gevaar brengt. De getroffen pakketten werden honderden miljoenen keren per week gedownload. Daarnaast werden 453 publieke repositories ontdekt verspreid over vijf accounts die het patroon van datadiefstal van de worm vertoonden. Deze accounts zijn echter mogelijke, niet-bevestigde slachtoffers. De detectie van de worm moet zich richten op zowel repositories als buildomgevingen, niet uitsluitend op benoemde pakketten, aangezien de worm zich uitbreidt via elk account waar het publicatietoegang verkrijgt.

De worm haalt zijn commandobestemming op via een Ethereum smart contract, wat de operator de mogelijkheid geeft de bestemming te wijzigen zonder geïnfecteerde pakketten te hoeven updaten. Een dergelijke wijziging werd waargenomen op 4 augustus.

Het wordt aanbevolen om onverwachte npm-publicaties en repositorywijzigingen te controleren, met name na afhankelijkheidsupdates of ongebruikelijke geautomatiseerde releases. Verdedigers dienen pakketwijzigingen te inspecteren op nieuwe installatiehooks, gewijzigde scriptsecties en ongebruikelijk grote gecomprimeerde JavaScript-bestanden.

Aanbevelingen omvatten het lokaliseren en verwijderen van getroffen pakketversies, het onderzoeken van ontwikkelaarsmachines en CI-runners, en het verwijderen van persistentie voordat inloggegevens worden geroteerd. Beveiligingsteams wordt aangeraden om npm-, GitHub-, cloud-, SSH- en automatiseringsgeheimen die zijn blootgesteld op bevestigde geïnfecteerde systemen, in te trekken en te vervangen. Beheerders moeten dependency lockfiles herbouwen vanuit vertrouwde releases en oude caches, mirrors en pakketarchieven opschonen. Het simpelweg updaten van een "latest" tag beschermt mogelijk geen systemen die al een geïnfecteerde versie hebben gedownload. Teams kunnen blootstelling verminderen met kortstondige, nauw gedefinieerde inloggegevens, eenmalig te gebruiken CI-runners en strikte uitgaande netwerkregels voor buildtaken.