مهاجمون يستولون على قنوات TanStack وOpenSearch وMistral الرسمية، ويطرحون 84 نسخة خبيثة في 12 مايو

وفقاً لمراقبة Beating، في 12 مايو بين الساعة 3:20 و3:26 بالتوقيت العالمي المنسق+8، استولى مهاجمون مرتبطون بـ TeamPCP على مسارات الإطلاق الرسمية لكل من TanStack وOpenSearch من Amazon وMistral، ودفعوا 84 إصداراً خبيثاً من الحزم عبر npm وPyPI. تشمل الحزم المتأثرة @tanstack/react-router (10M+ تنزيلات أسبوعياً)، و@opensearch-project/opensearch (1.3M تنزيلات أسبوعياً)، وعميل mistralai من Mistral. تجاوزت الحزم الخبيثة آليات الثقة الأمنية عبر استغلال ثغرات في إعدادات GitHub Actions للحصول على بيانات اعتماد نشر مؤقتة شرعية، ما أتاح لها الحصول على توقيعات أصل بناء صالحة ضمن SLSA.

تُظهر التحليلات العكسية من Socket.dev أن الدودة تستمر حتى بعد إزالة الحزمة، عبر حقن كود في خطافات تنفيذ Claude Code عبر ملف الإعدادات .claude/settings.json، وفي إعدادات مهام VS Code عبر .vscode/tasks.json. في حزم بايثون، ينشط البرمج الخبيث بصمت عند الاستيراد دون الحاجة إلى استدعاء دوال. ينبغي التعامل مع الأجهزة المتأثرة باعتبارها مخترَقة؛ ويجب على المستخدمين فوراً تدوير بيانات اعتماد AWS وGitHub وnpm وSSH وإعادة التثبيت من ملفات القفل النظيفة.