Ataque masivo a la cadena de suministro de npm afecta al ecosistema de Keyv, se publican más de 2000 paquetes maliciosos

Se ha detectado un ataque masivo a la cadena de suministro de npm que afecta al ecosistema de Keyv/Cacheable. Los atacantes han publicado más de 2000 versiones de paquetes maliciosos, incluyendo keyv@6.0.0. Keyv es una biblioteca de abstracción de almacenamiento clave-valor ampliamente utilizada, que soporta backend como Redis, SQLite, PostgreSQL y MongoDB, con aproximadamente 127 millones de descargas semanales, lo que ha llevado a una exposición significativa de la cadena de suministro aguas abajo. La técnica de ataque es altamente similar a la actividad del gusano npm Shai-Hulud anterior, lo que indica un ataque a la cadena de suministro altamente automatizado y escalable. Las posibles acciones de ataque incluyen robo de credenciales, filtración de variables de entorno, filtración de claves CI/CD, entrega de cargas remotas y propagación lateral a través de entornos de desarrollo comprometidos. Los equipos de seguridad deben identificar y eliminar de inmediato las versiones de paquetes afectadas, actualizar a versiones seguras verificadas, revisar los archivos de bloqueo de dependencias y los registros de construcción, monitorear conexiones externas sospechosas, rotar credenciales filtradas y reconstruir el entorno una vez que se confirme la afectación.