کمیته رکن چهارم – در یک حمله زنجیره تأمین نرم‌افزاری، دو بسته npm از مجموعه «Rspack» با بدافزاری برای استخراج ارز دیجیتال آلوده شدند و اقدامات امنیتی فوری برای مقابله با این تهدید انجام شد.
به گزارش کمیته رکن چهارم، توسعه‌دهندگان «Rspack» اعلام کردند که دو بسته نرم‌افزاری به نام‌های «@rspack/core» و «@rspack/cli» در نسخه ۱.۱.۷ به نوعی بدافزار آلوده شده‌اند که برای استخراج ارز دیجیتال طراحی شده است. این بدافزار هنگام نصب نرم‌افزار روی دستگاه فعال می‌شود، اطلاعات حساسی مانند آدرس اینترنتی (IP) و اطلاعات حساب کاربری را جمع‌آوری کرده و از قدرت پردازشی دستگاه برای استخراج ارز دیجیتال سوءاستفاده می‌کند. این حمله به‌طور خاص دستگاه‌های کاربران در کشورهایی مانند چین، روسیه، هنگ‌کنگ، بلاروس و ایران را هدف قرار داده است.
در پی این حمله، نسخه‌های آلوده حذف شده و نسخه امن ۱.۱.۸ منتشر شد. توسعه‌دهندگان تمام توکن‌های npm و GitHub را لغو کرده، مجوزهای دسترسی به مخازن را بازبینی و کد منبع را برای شناسایی آسیب‌پذیری‌های احتمالی بررسی کرده‌اند.
این حادثه، مشابه حملات دیگری مانند آلودگی بسته «npm vant» است که بیش از ۴۱,۰۰۰ بار در هفته دانلود می‌شد و هدف حملات گسترده قرار گرفت. در این مورد نیز نسخه‌های آلوده حذف و اقدامات امنیتی برای کاهش خطرات آینده انجام شد.
حوادث اخیر بار دیگر بر اهمیت تقویت امنیت زنجیره تأمین نرم‌افزاری تأکید دارد. کارشناسان پیشنهاد می‌کنند که ابزارهای امنیتی پیشرفته‌تر و بررسی‌های دقیق‌تر برای جلوگیری از انتشار نسخه‌های آلوده ضروری است. مدیران بسته‌ها باید اقدامات سختگیرانه‌تری برای جلوگیری از چنین تهدیداتی اتخاذ کنند تا از اعتماد کاربران محافظت شود.
