npm Worm Targets Dev Environments, Exploits Supply Chain

A newly discovered npm malware attack has infected multiple packages, using sneaky tactics like install-time execution and credential theft to compromise developer environments and spread through the supply chain. This self-propagating malware strain appears to be targeting specialized developer workflows, putting a spotlight on vulnerabilities…

https://osintsights.com/npm-worm-targets-dev-environments-exploits-supply-chain?utm_source=mastodon&utm_medium=social

#MalwareOperations #SupplyChain #Npm #Canisterworm #DevEnvironments

📢 Campagne TeamPCP : compromission en chaîne de Trivy, KICS, LiteLLM et Telnyx via CI/CD
📝 ## 🔍 Contexte

Article publié le 2 avril 2026 (mis à jour le 8 avril) par Alessandro Brucato sur le blog de Tracebi...
📖 cyberveille : https://cyberveille.ch/posts/2026-09-04-campagne-teampcp-compromission-en-chaine-de-trivy-kics-litellm-et-telnyx-via-ci-cd/
🌐 source : https://tracebit.com/blog/detecting-cicd-supply-chain-attacks-with-canary-credentials
#CI_CD #CanisterWorm #Cyberveille

CanisterWorm – kolejna kampania malware w ekosystemie npm

Badacze bezpieczeństwa z StepSecurity zidentyfikowali podejrzane aktualizacje wielu paczek npm. Okazuje się, że jest to nowa kampania – nazwana CanisterWorm – która nie tylko infekuje urządzenia programistów, ale też pakiety, do których mają oni dostęp (z poziomu swojego tokenu). Według ustaleń badaczy początkiem kampanii było wdrożenie złośliwej aktualizacji skanera Trivy,...

#WBiegu #Canisterworm #Malware #Npm

https://sekurak.pl/canisterworm-kolejna-kampania-malware-w-ekosystemie-npm/

📢 TeamPCP : rétrospective d'une attaque supply chain en cascade contre 5 écosystèmes (mars 2026)
📝 ## 🔍 Contexte

Publié le 30 mars 2026 par OpenSourceMalware.com, cet article constitue une **rétrospective comp...
📖 cyberveille : https://cyberveille.ch/posts/2026-03-30-teampcp-retrospective-d-une-attaque-supply-chain-en-cascade-contre-5-ecosystemes-mars-2026/
🌐 source : https://opensourcemalware.com/blog/teampcp-supply-chain-campaign
#CVE_2026_33634 #CanisterWorm #Cyberveille

📢 Attaque supply chain TeamPCP : Trivy compromis, malware injecté dans les releases et GitHub Actions
📝 ## 🎯 Contexte

Source : Wiz Research, publié le 20 mars 2026.
📖 cyberveille : https://cyberveille.ch/posts/2026-03-25-attaque-supply-chain-teampcp-trivy-compromis-malware-injecte-dans-les-releases-et-github-actions/
🌐 source : https://www.wiz.io/blog/trivy-compromised-teampcp-supply-chain-attack
#CanisterWorm #GitHub_Actions #Cyberveille

📢 CanisterWorm : TeamPCP compromet des packages NPM via un ver auto-propageable avec C2 ICP
📝 ## 🎯 Contexte

Publié le 20 mars 2026 par Aikido Security (Charlie Eriksen), cet article documente la détection le 20 mars...
📖 cyberveille : https://cyberveille.ch/posts/2026-03-25-canisterworm-teampcp-compromet-des-packages-npm-via-un-ver-auto-propageable-avec-c2-icp/
🌐 source : https://www.aikido.dev/blog/teampcp-deploys-worm-npm-trivy-compromise
#CanisterWorm #ICP_C2 #Cyberveille

Nowy cyberatak uderza w open source. Malware rozprzestrzenia się sam i niszczy wybrane systemy

Na horyzoncie pojawiło się nowe, wyjątkowo niebezpieczne zagrożenie dla świata oprogramowania. Grupa hakerska znana jako TeamPCP prowadzi szeroko zakrojoną kampanię, w której wykorzystuje samorozprzestrzeniające się złośliwe oprogramowanie infekujące projekty open source.

Co szczególnie niepokojące, część tego kodu została zaprojektowana nie tylko do kradzieży danych, ale również do fizycznego niszczenia systemów – i to w sposób selektywny.

Według badaczy bezpieczeństwa, mamy do czynienia z jednym z najbardziej zaawansowanych ataków typu supply chain w ostatnich miesiącach. Złośliwe oprogramowanie nie tylko infekuje pojedyncze maszyny, ale potrafi automatycznie przenosić się dalej – wykorzystując narzędzia i procesy, które są fundamentem współczesnego tworzenia oprogramowania.

Atak, który rozlewa się sam

Nowy malware, określany jako CanisterWorm, został zaprojektowany jako tzw. worm, czyli robak zdolny do samodzielnego rozprzestrzeniania się bez udziału użytkownika. Po infekcji systemu przeszukuje on środowisko w poszukiwaniu tokenów dostępu do repozytoriów npm, a następnie automatycznie publikuje zainfekowane wersje pakietów.

W praktyce oznacza to efekt domina. Jeden zainfekowany projekt może błyskawicznie przenieść zagrożenie dalej – na kolejne biblioteki, a następnie na ich użytkowników. Badacze zaobserwowali przypadki, w których malware był w stanie zaatakować dziesiątki pakietów w mniej niż minutę, co pokazuje skalę automatyzacji całego procesu.

Sytuację dodatkowo komplikuje sposób sterowania złośliwym oprogramowaniem. Atakujący wykorzystali mechanizm oparty na Internet Computer Protocol – rozwiązanie przypominające inteligentne kontrakty, które trudno przejąć lub wyłączyć. Dzięki temu infrastruktura kontrolująca malware może dynamicznie zmieniać adresy serwerów i utrudniać jego neutralizację.

Niespodziewany zwrot: destrukcja zamiast kradzieży

Choć wcześniejsze działania TeamPCP były nastawione głównie na zysk – kradzież danych, ransomware czy kopanie kryptowalut – najnowsza kampania wprowadza niepokojący element. Malware zawiera dodatkowy moduł o nazwie „Kamikaze”, który w określonych warunkach nie kradnie danych, lecz całkowicie niszczy system.

Mechanizm jest prosty i brutalny. Jeśli zainfekowana maszyna znajduje się w irańskiej strefie czasowej lub ma konfigurację wskazującą na Iran, malware aktywuje funkcję kasowania danych zamiast dalszej infekcji. W środowiskach opartych na Kubernetes oznacza to usunięcie wszystkich węzłów klastra, a w innych przypadkach – bezpośrednie wyczyszczenie systemu poleceniem usuwającym wszystkie pliki.

Na razie nie ma potwierdzenia, że doszło do realnych zniszczeń na dużą skalę, ale eksperci podkreślają, że potencjał takiego scenariusza jest ogromny. Co równie istotne, motywacja stojąca za tym działaniem pozostaje niejasna. Może to być element ideologiczny, ale równie dobrze próba zwrócenia na siebie uwagi przez grupę hakerską.

Źródło problemu: zaufanie do open source

Kluczowym elementem całej operacji był wcześniejszy atak na firmę Aqua Security, twórcę popularnego narzędzia Trivy do skanowania podatności. Napastnicy przejęli dostęp do kont GitHub i Docker Hub, publikując zainfekowane wersje oprogramowania oraz uzyskując dostęp do wewnętrznych repozytoriów.

Problem polega na tym, że mimo prób zabezpieczenia incydentu, proces rotacji danych dostępowych był niepełny. To pozwoliło atakującym utrzymać kontrolę nad infrastrukturą i kontynuować działania. W efekcie jeden incydent przerodził się w wieloetapową kampanię obejmującą kolejne narzędzia i projekty.

To pokazuje fundamentalną słabość współczesnego ekosystemu open source: ogromne zaufanie do zewnętrznych komponentów i automatycznych procesów CI/CD. To właśnie one stały się idealnym wektorem ataku.

Cichy problem, który może dotyczyć wszystkich

Największym zagrożeniem nie jest nawet sam malware, ale jego sposób działania. CanisterWorm może rozprzestrzeniać się w tle, bez widocznych oznak infekcji, wykorzystując legalne mechanizmy dystrybucji oprogramowania. To oznacza, że wiele organizacji może być już dotkniętych problemem – nawet o tym nie wiedząc.

Eksperci ds. bezpieczeństwa apelują do firm deweloperskich o pilne sprawdzenie swoich systemów, szczególnie pipeline’ów CI/CD i dostępu do repozytoriów. Wskaźniki kompromitacji zostały już opublikowane, ale czas reakcji może mieć kluczowe znaczenie.

Jedno jest pewne: to kolejny sygnał, że wojna w cyberprzestrzeni przenosi się na nowy poziom. Ataki nie są już wymierzone tylko w użytkowników końcowych, ale w sam fundament tworzenia oprogramowania – i to na skalę, która jeszcze niedawno wydawała się trudna do osiągnięcia.

Atak z Nowego Jorku, zablokowany Mac i 9-letnie hasło. Jak ekosystem Apple uratował mój cyfrowy tyłek

‘#CanisterWorm’ Springs Wiper Attack Targeting #Iran

https://krebsonsecurity.com/2026/03/canisterworm-springs-wiper-attack-targeting-iran/

#cybersecurity

‘CanisterWorm’ Springs #Wiper Attack #Targeting #Iran

A financially motivated data theft and #extortion group is attempting to inject itself into the #Iranwar , unleashing a #worm that spreads through poorly secured cloud services and wipes data on infected systems that use Iran’s time zone or have #Farsi set as the default language.
#security #CanisterWorm

https://krebsonsecurity.com/2026/03/canisterworm-springs-wiper-attack-targeting-iran/