בתחילת אוגוסט 2026 תועדה אחת ממתקפות שרשרת האספקה המהירות והנרחבות שנראו במאגר הקוד הפתוח npm — התשתית שממנה כמעט כל ארגון אשר מפתח תוכנה מוריד רכיבי JavaScript מוכנים. הכול התחיל בפריצה לחשבון GitHub של מתחזק חבילות במרחבי keyv ו- cacheable: התוקפים ניצלו את החשבון כדי להחדיר קוד זדוני ל- 11 חבילות "נשאיות" ראשונות. מכאן ואילך כבר לא נדרשו ידיים אנושיות — תולעת בשם ChainDrop, גלגול מתקדם של התולעת Shai-Hulud 2.0, המשיכה להתפשט בכוחות עצמה והדביקה 433 חבילות נוספות. השורה התחתונה: 440 חבילות נגועות ולמעלה מ- 2,200 גרסאות זדוניות, כאשר לפי ניתוח של StepSecurity — כ- 2,220 מהן פורסמו בתוך פחות מארבע שעות, עד ה- 4 באוגוסט. החבילות הנגועות מצטברות יחד ליותר מ- 500 מיליון הורדות שבועיות. את המתקפה ניתחו גם מיקרוסופט, JFrog ו- Socket.
איך המתקפה עובדת?
ההדבקה מתרחשת ברגע ההתקנה. לכל חבילה נגועה מצורף סקריפט preinstall — קוד אשר רץ אוטומטית ברגע שמפתח, או שרת CI/CD, מתקין את החבילה, עוד לפני שהורצה שורת קוד אחת מהפרויקט עצמו. הסקריפט מוריד את סביבת הריצה הלגיטימית Bun ומפעיל באמצעותה קוד מעורפל בנפח 710KB. משם סורקת הנוזקה את תחנת העבודה של המפתח ואת סביבות ה- CI/CD ואוספת בצורה מדויקת את הסודות הרגישים ביותר: אישורי npm ו- GitHub, מפתחות ענן של AWS, סודות Kubernetes ו- HashiCorp Vault. השלל מוצפן ונשלח אל כתובות HTTPS דינמיות או אל מאגרי GitHub ציבוריים שבשליטת התוקפים, המתויגים בשם המתריס "Shai-Hulud: Here We Go Again".
ואז מגיע השלב שהופך נוזקה רגילה לתולעת: באמצעות אישורי הפרסום שנגנבו, מושך הקוד הזדוני את הגרסאות העדכניות של חבילות נוספות שבשליטת הקורבן, מזריק את עצמו לתוכן, מעלה את מספר הגרסה ומפרסם אותן מחדש למאגר — וכל מי שמתקין אותן הופך לחוליה הבאה בשרשרת. התחכום לא נעצר שם: התקשורת עם התוקפים מוסתרת בבלוקצ'יין של את'ריום בטכניקת EtherHiding, במערכות macOS ולינוקס פועל מנגנון "מתג איש מת" המתשאל את GitHub כל 60 שניות באמצעות הטוקן הגנוב — ואם הטוקן נחסם, הנוזקה מוחקת את עצמה ונעלמת — והתולעת אף מנצלת את GitHub Actions ומחדירה קבצי תצורה של VS Code ו- Claude למאגרים כדי להרחיב את ההדבקה.
מה המשמעות לארגונים?
זוהי הסכנה הייחודית של מתקפות שרשרת אספקה: אף אחד לא תקף את הארגון שלכם ישירות — ובכל זאת ייתכן שנפגעתם. כל ארגון אשר מפתח תוכנה, מריץ צינורות CI/CD או אפילו רק התקין תלות JavaScript בימים האחרונים נמצא בטווח הסיכון: מפתח אחד שהריץ npm install על גרסה נגועה עלול היה למסור לתוקפים את מפתחות הענן, הקוד והתשתית של הארגון כולו. ההנחיה שעולה מהדיווח הינה חד-משמעית: מי שהתקין גרסה נגועה צריך להתייחס למכונה שלו כפרוצה. חוקרי JFrog ממליצים לבודד את מערכות המחשוב הנגועות ולשמר ראיות — לוגים של npm ו- CI ויומני ביקורת של GitHub — עוד לפני הניקוי; בהמשך נדרש לבנות מחדש שרתי build ו- CI וכן, לבטל ולהחליף כל סוד שעלול היה להיחשף. הנזק אינו נעצר בגניבה: אישורי הפרסום הגנובים הופכים את הארגון עצמו, בעל כורחו, למפיץ של התולעת כלפי לקוחותיו ושותפיו.
הזווית של 010
מתקפה כזו ממחישה מדוע הגנה על סביבת הפיתוח היא הגנה על הליבה העסקית. שירות מודיעין הסייבר של 010 מספק התרעות מוקדמות על מתקפות סייבר פעילות ועל חבילות נגועות — כדי שתדעו לפני ההתקנה, לא אחריה. סקר סיכונים ממפה את התלות של הארגון ברכיבי קוד פתוח ואת סביבות הפיתוח וה- CI/CD כנכסים קריטיים שדורשים בקרות ייעודיות. שירות SIEM/SOC מנטר התנהגות חריגה בדיוק מהסוג הזה — תהליך התקנה שפונה פתאום לבלוקצ'יין, או טוקן GitHub שנשלף ממכונת build בשעה חריגה. מניעת דלף מידע (DLP) מסייעת לזהות ולעצור יציאה של סודות ואישורים מתחנות העבודה וכמו כן, עדכוני תוכנה ואבטחה מנוהלים מבטיחים שגם תהליך העדכון עצמו — שהפעם היה דווקא הוא וקטור ההדבקה — מתבצע באופן מבוקר ובטוח.
למקור הידיעה ולקריאה נוספת לחצו כאן
