npm tiekimo grandinės ataka: 140+ Mastra AI paketų užkrėsta kenkėjišku kodu

2026 m. birželio 17-osios naktį vienas npm naudotojas per maždaug 88 minutes paskelbė daugiau nei 140 kenkėjiškų paketų versijų po @mastra vardu — tai populiarus atviro kodo TypeScript/JavaScript framework'as dirbtinio intelekto agentams kurti. Paketai buvo nematomai užkrėsti taip, kad kiekvienas naujas npm install automatiškai parsisiųstų ir paleistų kenkėjišką kodą. Bendras užkrėstų paketų savaitinis atsisiuntimų skaičius viršija 1,1 milijono.

Tai dar viena tiekimo grandinės (supply chain) ataka, taikanti tiesiai į kūrėjus — ne į galutinius vartotojus, o į tuos, kurie kasdien aklai traukia priklausomybes. Žemiau — kas tiksliai nutiko, kaip ataka veikė ir kokią praktinę pamoką iš to turėtų pasiimti kiekvienas Node.js verslas.

Kas įvyko

Mastra — tai framework'as, kurį kuria buvusi Gatsby komanda (Sam Bhagwat, Abhi Aiyer, Shane Thomas). Projektas populiarus: vien @mastra/core turi virš 918 tūkst. atsisiuntimų per savaitę, o kai kurie scope paketai — daugiau nei milijoną. Būtent dėl populiarumo ataka ir buvo tokia pavojinga.

Birželio 17 d. apie 01:12 UTC užpuolikas pradėjo masinį paketų perskelbimą. Per kiek daugiau nei valandą buvo paskelbta 140+ (skirtingi tyrėjai mini 142–144) kenkėjiškų @mastra/* paketų versijų. Į kiekvieno jų package.json buvo įterpta viena eilutė — nauja priklausomybė:

• "easy-day-js": "^1.11.21"

Šis vienas pakeitimas ir buvo visa esmė.

Kaip veikė typosquat'as

Kenksmas slėpėsi ne pačiuose Mastra paketuose, o vienu lygiu žemiau — priklausomybėje easy-day-js. Tai suklastota populiarios datų bibliotekos dayjs kopija. Užpuolikas pasistengė, kad paketas atrodytų patikimai: nukopijavo tikrojo dayjs autoriaus vardą, homepage, repozitorijos nuorodą, licenciją ir net versijų numeraciją (1.11.x), kad praeitų paviršutinišką peržiūrą.

Laiko juosta buvo apgalvota:

• Birželio 16 d., 07:05 UTC — naudotojas sergey2016 paskelbė [email protected]: visiškai švarią, veikiančią dayjs kopiją be jokio kenkėjiško kodo. Jos vienintelis tikslas — atrodyti įtikinamai.
• Birželio 17 d., ~01:01 UTC — paskelbta [email protected] su kenkėjišku setup.cjs.

Kadangi Mastra paketuose priklausomybė buvo nurodyta su „caret" diapazonu (^1.11.21), kiekvienas naujas diegimas automatiškai išsitraukdavo naujausią tinkamą versiją — t. y. užminuotą 1.11.22. Jokių papildomų pakeitimų pačiuose @mastra paketuose nebereikėjo.

Ką darė kenkėjiškas kodas

Kenkėjiškas setup.cjs buvo paleidžiamas automatiškai per postinstall kabliuką, t. y. tiesiog įdiegus paketą. Jis:

• išjungdavo TLS sertifikatų tikrinimą (NODE_TLS_REJECT_UNAUTHORIZED=0), kad galėtų jungtis prie užpuoliko serverių su savadarbiais sertifikatais;
• parsisiųsdavo antros pakopos „payload'ą" iš užpuoliko valdomo serverio ir paleisdavo jį kaip atskirą foninį procesą;
• ištrindavo pats save (fs.rmSync), kad neliktų pėdsakų.

Antros pakopos kodas — kelių platformų (Windows, macOS, Linux) nuotolinio valdymo įrankis ir slaptažodžių vagis. Jis įsidiegdavo prisijungimo metu pasileidžiantį „persistence" mechanizmą, inventorizuodavo per 160 kriptovaliutų piniginių naršyklės plėtinių, rinkdavo naršymo istoriją iš Chrome, Brave ir Edge bei atverdavo kanalą papildomoms užpuoliko komandoms vykdyti.

Kadangi Mastra naudoja DI kūrėjai, ypač vertingu grobiu tampa jų aplinkos paslaptys: OPENAI_API_KEY, ANTHROPIC_API_KEY, debesų paslaugų prisijungimai, duomenų bazių „connection string'ai" ir CI/CD raktai. Vienas neatsargus npm install kūrėjo mašinoje ar CI konvejeryje galėjo atiduoti juos visus.

Kaip buvo aptikta ir sustabdyta

Ataką greitai pastebėjo saugumo tiekėjai: easy-day-js buvo pažymėtas kaip kenkėjiškas per kelias minutes nuo paskelbimo, o nepriklausomi tyrimai užfiksavo bandymus jungtis prie valdymo serverių. Mastra komanda reagavo tą pačią dieną — pašalino neautorizuotą paskyros savininką ir „prastūmė" visus paketus į švarias versijas.

Atskiras klausimas — kaip užpuolikas apskritai gavo teisę publikuoti. Tyrėjų duomenimis, buvo panaudota seniai neaktyvi buvusio projekto bendraautoriaus paskyra, kuri 2024 m. pabaigoje–2025 m. pradžioje teisėtai skelbė ankstyvas versijas, o vėliau „užmigo". Esminė problema: npm neatšaukia scope publikavimo teisių dėl neaktyvumo. Vienas pamirštas, vėliau perimtas prisijungimas suteikė prieigą prie viso scope.

Dėl atakos autorystės kol kas atsargumas: kai kurie tyrėjai pastebėjo panašumų su Šiaurės Korėjos grupuotės (BlueNoroff / „Sapphire Sleet") veiklos braižu, taikytu prieš kūrėjus dėl kriptovaliutų, tačiau konkrečiai šio incidento atribucija oficialiai nepatvirtinta.

Ką tai reiškia Lietuvos Node.js verslui

Ši ataka — ne apie konkretų Mastra. Tai apie visą JavaScript ekosistemos modelį, kuriame vienas npm install gali parsiųsti šimtus tranzityvių priklausomybių, o bet kuri iš jų gali turėti postinstall skriptą. Praktinės išvados, tinkančios bet kuriai komandai:

• Rakink versijas. Naudok package-lock.json / pnpm-lock.yaml ir diegimui CI naudok npm ci (ne npm install), kad neištrauktum naujų „caret" versijų be peržiūros.
• Įvesk „atvėsimo" periodą. Daugelis incidentų pagaunami per pirmas valandas. Politika nediegti paketų versijų, jaunesnių nei kelios paros, būtų sustabdžiusi šitą ataką.
• Apribok postinstall skriptus. Diegimui galima naudoti --ignore-scripts ten, kur skriptai nereikalingi, arba izoliuoti diegimą.
• Saugok paslaptis. Raktai neturi gulėti kūrėjo aplinkoje „atviru tekstu"; naudok trumpalaikius (short-lived) tokenus ir slaptažodžių saugyklas.
• Stebėk advisory'us. Sek npm ir saugumo tiekėjų pranešimus apie savo priklausomybes — automatiškai, ne rankiniu būdu.

Jei birželio 17 d. įdiegei bet kurį @mastra paketą — verta laikyti aplinką potencialiai pažeista: pakeisk API raktus ir slaptažodžius, peržiūrėk npm diegimų žurnalus, patikrink, ar nėra nežinomų foninių procesų ar „persistence" įrašų.

DUK

Ar nukentėjau, jei tiesiog turiu Mastra projekte?

Rizikingas yra konkretus veiksmas — paketo diegimas tuo metu, kai scope buvo užkrėstas (birželio 17 d.). Jei tądien diegei ar atnaujinai @mastra/*, traktuok aplinką kaip galimai pažeistą. Senesni, jau įdiegti ir „užrakinti" lock faile paketai pavojaus nekelia, jei nebuvo perdiegti.

Kuo skiriasi easy-day-js nuo tikrojo dayjs?

dayjs — tikra, plačiai naudojama datų biblioteka. easy-day-js — suklastota jos kopija, sukurta atrodyti identiškai, bet su paslėptu kenkėjišku postinstall skriptu. Tai klasikinis „typosquat".

Ką pirmiausia daryti, jei įtariu užkrėtimą?

Atjunk mašiną nuo tinklo, pakeisk visus toje aplinkoje buvusius raktus ir slaptažodžius (LLM API, debesų, DB, CI/CD), patikrink prisijungimo „persistence" mechanizmus ir foninius procesus, o pažeistą darbo aplinką saugiausia atstatyti iš švaraus atvaizdo.

Kaip ateityje apsisaugoti nuo panašių atakų?

Rakink priklausomybių versijas, naudok npm ci, įvesk versijų „atvėsimo" periodą, riboк postinstall skriptus ir stebėk saugumo advisory'us apie savo priklausomybes.