Hackers comprometeram 19 pacotes no PyPI, com downloads de centenas de milhares de vezes, em um novo ataque de cadeia de suprimento Shai-Hulud que entregava malware projetado para roubar segredos de desenvolvedores.
Detalhes Técnicos
O malware Shai-Hulud (S9008) é um verme de cadeia de suprimento que se espalha por meio de repositórios de código, incluindo pacotes GitHub e NPM.
Explora dependências de pipeline CI/CD para se propagar às vítimas e envenena a cadeia de suprimento publicando pacotes maliciosos.
Os pacotes maliciosos foram publicados no PyPI, visando desenvolvedores de ciência.
Ações Recomendadas
Verifique se os pacotes utilizados estão atualizados e não estão na lista de pacotes comprometidos.
Implemente medidas de segurança para validar a integridade dos pacotes antes de sua utilização.
Monitore o uso de segredos de desenvolvedores e ajuste as permissões de acesso conforme necessário.
