Un gran ataque a la cadena de suministro afecta a 637 paquetes npm, posiblemente con GitHub y Grafana comprometidos

De acuerdo con la inteligencia de amenazas de Slow Mist, un ataque a gran escala de la cadena de suministro conocido como «Mini Shai-Hulud» comprometió recientemente la cuenta de npm atool, desplegando 637 versiones maliciosas en 317 paquetes en 22 minutos. Se vieron afectados paquetes de alta frecuencia, incluidos AntV y Echarts-for-react, junto con versiones 1.4.1, 1.4.2 y 1.4.3 del Python SDK durabletask, que se publicaron falsamente bajo la apariencia de lanzamientos oficiales de Microsoft.

El ataque permitió el acceso no autorizado a credenciales, repositorios internos e infraestructura cloud sensible, con potencial de movimiento lateral hacia máquinas de desarrolladores y canalizaciones CI/CD. Las filtraciones de tokens de GitHub y el reciente incidente de ransomware de Grafana Labs probablemente estén conectados a esta campaña. Slow Mist recomienda rotar de inmediato las credenciales expuestas, reemplazar los paquetes afectados, aislar los sistemas posiblemente comprometidos e implementar políticas estrictas de revisión de dependencias.