इन पैकेजों में ऐसा मालवेयर जोड़ा गया था जो डेवलपर मशीनों और CI/CD सिस्टम से क्रेडेंशियल चुराने की कोशिश करता था।
TanStack की कई लाइब्रेरी React और JavaScript इकोसिस्टम में बेहद लोकप्रिय हैं—कुछ पैकेज हर हफ्ते लाखों बार डाउनलोड होते हैं। इसलिए जैसे ही संक्रमित वर्ज़न प्रकाशित हुए, उनके जल्दी से कई डेवलपर एनवायरमेंट और बिल्ड पाइपलाइन तक पहुंचने की संभावना बन गई।
बाद की जांच में पता चला कि यह केवल TanStack तक सीमित नहीं था। पूरी कैंपेन में:
हमलावरों ने npm अकाउंट हैक करने के बजाय उस ऑटोमेशन को निशाना बनाया जो पैकेज प्रकाशित करता है।
TanStack के पोस्टमॉर्टम के अनुसार हमला कई तकनीकों को जोड़कर किया गया था:
pull_request_target वर्कफ़्लो पैटर्न का गलत उपयोगइन कमजोरियों को एक साथ जोड़कर हमलावरों ने रिलीज़ पाइपलाइन के अंदर अपना कोड चलाया और ऐसे क्रेडेंशियल हासिल किए जिनसे npm पर पैकेज प्रकाशित किए जा सकते थे। इसके बाद मालिशियस पैकेज उसी वैध रिलीज़ सिस्टम के जरिए प्रकाशित हो गए।
क्योंकि पैकेज उसी आधिकारिक पाइपलाइन से प्रकाशित हुए थे, इसलिए वे सामान्य अपडेट की तरह दिखते थे और कई मामलों में उनके पास वैध बिल्ड सिग्नेचर भी थे। इससे उन्हें पहचानना और मुश्किल हो गया।
इन पैकेजों में मौजूद मालवेयर को इस तरह डिजाइन किया गया था कि वह सप्लाई‑चेन वर्म की तरह फैल सके।
जब कोई डेवलपर या CI सिस्टम संक्रमित पैकेज इंस्टॉल करता, तो इंस्टॉलेशन या रनटाइम के दौरान स्क्रिप्ट चलती और अतिरिक्त पेलोड डाउनलोड कर लेती। कई मामलों में यह npm lifecycle hooks के जरिए होता था।
एक बार सक्रिय होने के बाद मालवेयर:
इस तरह हमला डेवलपर मशीनों, बिल्ड सिस्टम और अन्य ओपन‑सोर्स प्रोजेक्ट्स के बीच लैटरल मूवमेंट कर सकता था।
मालवेयर का मुख्य लक्ष्य डेवलपर और क्लाउड इंफ्रास्ट्रक्चर से जुड़े क्रेडेंशियल थे। रिपोर्टों के अनुसार यह कई प्रकार के सीक्रेट खोजने की कोशिश करता था, जैसे:
शोधकर्ताओं ने पाया कि मालवेयर डेवलपर मशीनों और CI रनर पर कई फाइल पाथ स्कैन करता था ताकि सेव किए गए सीक्रेट और कॉन्फ़िगरेशन डेटा मिल सकें।
जिन सिस्टम पर संक्रमित पैकेज इंस्टॉल हुए थे, उन्हें संभावित रूप से समझौता‑ग्रस्त माना गया और सभी क्रेडेंशियल बदलने की सलाह दी गई।
क्योंकि प्रभावित लाइब्रेरी कई डेवलपर टूल्स में इस्तेमाल होती हैं, इसलिए यह सवाल उठा कि क्या इससे बड़ी टेक कंपनियों की सेवाओं पर असर पड़ा।
OpenAI ने कहा कि TanStack से जुड़े इस सप्लाई‑चेन सुरक्षा मुद्दे के कारण उसके यूज़र डेटा तक किसी भी अनधिकृत पहुंच का कोई सबूत नहीं मिला।
इस बयान ने उन अटकलों को संबोधित किया जिनमें कहा जा रहा था कि प्रभावित पैकेजों के जरिए ग्राहक डेटा तक पहुंच हो सकती है।
Mini Shai‑Hulud अभियान ने सप्लाई‑चेन हमलों के नए रुझान दिखाए:
ऑटोमेशन पर हमला
हमलावरों ने सीधे डेवलपर अकाउंट हैक नहीं किए—उन्होंने रिलीज़ ऑटोमेशन को ही हाईजैक कर लिया।
साइन किए गए मालिशियस पैकेज
क्योंकि पैकेज आधिकारिक पाइपलाइन से प्रकाशित हुए थे, इसलिए वे भरोसेमंद अपडेट जैसे दिखते थे।
वर्म‑जैसा प्रसार
मालवेयर क्रेडेंशियल चुराकर खुद को अन्य पैकेजों और सिस्टम में फैलाने की कोशिश करता था।
इन वजहों से इसे 2026 के सबसे बड़े ओपन‑सोर्स सप्लाई‑चेन सुरक्षा घटनाओं में से एक माना गया।
इस घटना के बाद सुरक्षा विशेषज्ञों ने कुछ अहम सावधानियां सुझाईं:
डिपेंडेंसी इंस्टॉल को कोड‑एक्जीक्यूशन समझें
कई पैकेज इंस्टॉल के समय स्क्रिप्ट चलाते हैं, इसलिए यह संभावित सुरक्षा जोखिम है।
क्रेडेंशियल तुरंत रोटेट करें
यदि किसी प्रभावित पैकेज का उपयोग हुआ है, तो उस सिस्टम के सभी सीक्रेट बदलना जरूरी है।
CI/CD वर्कफ़्लो को मजबूत बनाएं
GitHub Actions में टोकन परमिशन सीमित रखें और pull_request_target जैसे जोखिमपूर्ण पैटर्न से बचें।
डिपेंडेंसी ऑडिट करें
टीमों को मई 2026 के दौरान इंस्टॉल किए गए पैकेज वर्ज़न की जांच करने की सलाह दी गई।
बिल्ड पाइपलाइन मॉनिटर करें
अनपेक्षित नेटवर्क कॉल, अचानक नए पैकेज इंस्टॉल या अनधिकृत पब्लिशिंग गतिविधि सप्लाई‑चेन हमले का संकेत हो सकती है।
आज का सॉफ्टवेयर इकोसिस्टम साझा डिपेंडेंसी और ऑटोमेशन पर निर्भर है। Mini Shai‑Hulud ने दिखाया कि वही सिस्टम अगर समझौता‑ग्रस्त हो जाएं तो वे मालवेयर फैलाने का बेहद शक्तिशाली माध्यम बन सकते हैं।
जब हमलावर बिल्ड पाइपलाइन और डेवलपर इंफ्रास्ट्रक्चर को निशाना बनाते हैं, तो वे भरोसेमंद चैनलों के जरिए कुछ ही घंटों में हजारों प्रोजेक्ट तक पहुंच सकते हैं। इसलिए अब कई संगठन CI/CD पाइपलाइन, डिपेंडेंसी मैनेजमेंट और डेवलपर एनवायरमेंट को भी उतना ही महत्वपूर्ण सुरक्षा सीमा मान रहे हैं जितना पारंपरिक प्रोडक्शन इंफ्रास्ट्रक्चर को।
Comments
0 comments