Shai Hulud launches second supply-chain attack
Злоумышленники запустили атаку малвари Shai Hulud 2.0 через цепочку поставок ПО, внедрив вредоносный код в open-source зависимости. Пострадавшими стали платформа автоматизации Zapier и домены Ethereum Name Service (ENS). Малварь маскируется под легитимные пакеты, позволяя красть секреты, выполнять удалённый код, сканировать уязвимости в контейнерах, IaC и облаке.
Ключевые факты: обнаружение через специализированные сканеры malware в зависимостях, SAST, DAST, CSPM и API; риски включают утечки секретов, 0-day уязвимости, misconfigurations в IaC и EOL- софте. Рекомендуется генерировать SBOM, внедрять runtime protection (WAF), AI-мониторинг и автономные пентесты для полного покрытия от IDE до продакшена. Атака подчёркивает уязвимость supply-chain, затронув fintech, healthtech и другие отрасли.