Masivní útok na vývojářské ekosystémy: Malware infikoval populární balíčky na npm a PyPI
Datum incidentu: červen 2025
Dotčené platformy: npm, PyPI
Cílové skupiny: vývojáři a firmy využívající open-source knihovny
Co se stalo?
Bezpečnostní výzkumníci z firmy Checkmarx odhalili rozsáhlou supply-chain operaci, která kompromitovala populární vývojářské balíčky na npm (JavaScript) a PyPI (Python). Kampaň infikovala přes desítku balíčků spojených s projektem GlueStack, což je framework usnadňující tvorbu backendových a frontendových aplikací.
Malware se šířil pomocí sofistikovaných balíčků, které na první pohled vypadaly legitimně. Mnohé z nich dokonce měly reálné funkcionality, aby nebudily podezření.
Jak malware fungoval?
Útočníci zavedli do balíčků škodlivý skript, který:
-
Exfiltroval citlivé informace (např. SSH klíče, přístupové tokeny)
-
Navazoval komunikaci s C2 serverem
-
Spouštěl další škodlivé payloady, včetně instalace nástrojů pro vzdálený přístup
Zajímavostí je, že některé balíčky používaly obfuskaci kódu, zatímco jiné byly záměrně přehledné – zjevně aby prošly běžným lidským auditem.
Koho se to týká?
Odhady hovoří až o milionech stažení. Mnoho vývojářů nevědomky stáhlo infikované balíčky, jelikož měly vysoký počet hvězdiček, přispěvatele a aktivní repozitáře. Zasaženi byli především vývojáři startupů a menších projektů, ale útok se může dotknout i enterprise aplikací, pokud byly závislosti nedostatečně ošetřeny.
Reakce komunity
-
npm a PyPI: odstranily kompromitované balíčky
-
GlueStack tým: pozastavil činnost všech přidružených repozitářů a začal audit
-
Výzkumníci: publikovali IoC (Indicators of Compromise) pro detekci nákazy
Doporučení
-
Proveďte audit závislostí ve vašich projektech (např. pomocí
npm auditnebopip-audit) -
Používejte lock files (
package-lock.json,poetry.lock) -
Zaveďte nástroje pro kontrolu integrity balíčků (např. Sigstore, SLSA)
-
Minimalizujte počet externích závislostí
-
Sledujte změny v komunitních balíčcích — i populární balíček se může stát obětí „repojacking“
Kontext: rostoucí hrozba supply-chain útoků
Tento incident není ojedinělý. Od roku 2022 počet útoků na softwarové řetězce dramaticky vzrostl. Vývojáři a firmy čelí novému typu kyberhrozby, která neútočí přímo na infrastrukturu, ale na nástroje, ze kterých infrastrukturu stavíme.
