NPM

Пробивът в cloud инфраструктурата на Европейската комисия от края на март 2026 г. вече има по-ясен контекст – и той променя правилата на играта. Първоначалната новина очерта инцидент в инфраструктурата. Новите разкрития показват нещо по-съществено: атаката влиза през инструмент, създаден да защитава. Supply chain атака, която превръща доверието в уязвимост.

Как започва всичко: компрометиран инструмент

Разследванията свързват инцидента с Trivy – широко използван security scanner, интегриран в CI/CD процеси. Атаката таргетира GitHub Actions pipeline-и, което позволява компрометиране още на етап build.

Този модел променя класическата представа за пробив:

• атака се насочва към доверен инструмент
• инструментът се използва масово в автоматизирани процеси
• зловредният код се разпространява чрез легитимни pipeline-и

Резултатът е пробив, който изглежда като нормална дейност.

Повтарящ се модел: от ЕК до Cisco

Случаят с Европейската комисия се вписва в по-широка тенденция. Конкретно само атаката срещу Trivy вече засегна доказано и публично признато:

• LiteLLM – чрез сходен supply chain сценарий
• Cisco – с изтичане на сорс код от компрометирана среда

Тези примери показват ясно: пробивът вече се случва и през веригата на доставки, а не директно срещу периметъра.

Домино ефектът в модерната киберсигурност

Supply chain атаките рядко спират до една организация. Един компрометиран компонент може да се разпространи в десетки среди за минути.

Как се разгръща ефектът

• един инструмент или библиотека се компрометира
• интеграцията в CI/CD разпространява промяната автоматично
• засегнати стават множество системи и организации
• детекцията се усложнява заради легитимния произход

Този модел създава ефект на верижна реакция, който изисква различен подход към управлението на риска.

Скоростта в ерата на AI

Развитието на AI ускорява както разработката, така и атаките. Времето между компрометиране и масово разпространение се измерва в часове.

Съвременната киберсигурност изисква баланс между скорост и контрол – бързи реакции, подкрепени от внимателна преценка.

Контекстът показва, че автоматизацията работи в две посоки – същите процеси, които ускоряват development-а, ускоряват и атаките.

Балансът между ъпдейти и контрол

Съвременните среди изискват навременни ъпдейти, за да се адресират zero-day уязвимости. В същото време автоматичното внедряване на всяка нова версия носи нов риск.

Случаите с Trivy и Axios показват двата края на спектъра:

• забавен ъпдейт увеличава риска от експлоатация
• неконтролиран ъпдейт увеличава риска от supply chain атака

Този баланс се превръща в ключова тема за всяка организация, която разчита на модерни DevOps практики.

Какво означава това за България

Българските компании все по-често използват CI/CD, cloud услуги и външни зависимости. Това поставя локалния бизнес в същата рискова категория като глобалните организации.

Екипи, които работят с:

• автоматизирани deployment-и
• open-source библиотеки
• външни security инструменти

се намират в директна зависимост от сигурността на глобалната supply chain.

Темата вече има пряко значение за българската ИТ екосистема и начина, по който се управляват зависимости и процеси.

Пробивът в Европейската комисия очертава (позната) нова реалност в киберсигурността, в която доверието към инструментите изисква същото внимание, както и самата защита.

• Навременните ъпдейти остават критични за защита от нови уязвимости
• Контролираното внедряване добавя слой сигурност срещу supply chain атаки
• Разбирането на зависимостите се превръща в стратегическо предимство

Разговорът за киберсигурност днес включва повече от защита на периметъра. Организациите, които изграждат процеси около доверие, контрол и видимост, създават устойчива основа за развитие в среда с ускоряващи се рискове.

Само дни след компрометираните версии на Axios, нов анализ показва още една атака в npm екосистемата – този път чрез Strapi плъгини.

Новият епизод от атаката е разкрит от Safedep, които са открили 36 зловредни npm пакета, маскирани като Strapi плъгини. Те:

• използват различни payload-и (поне 8 варианта)
• имитират легитимни плъгини
• действат като C2 (Command-and-Control) агенти
• позволяват отдалечено управление на приложения

Техническите детайли в случая не са от такова значение, може да ги прочете на сайта на Safedeep. Този пореден епизод показва ясно една тенденция: supply chain атаките стават стандарт. В комбинация с неконтролираното навлизане и предоверяване на AI в процеса на разработка, автоматизирането на cloud инфраструктури и прекомерната зависимост от външни библиотеки – това е рецепта за предизвестено бедствие.

По-конкретно: една библиотека може да компрометира цяла организация. Затова, преди да е станало късно, мислете и имплементирайте:

• контрол върху dependencies
• политики и видимост върху това какво влиза в системата ви.

Това е тема, която тепърва ще определя начина, по който се изграждат сигурни приложения – особено в свят, доминиран от AI и автоматизация.

Един от най-масовите supply-chain инциденти в екосистемата на npm е в ход: акаунт на maintainer е компрометиран чрез фишинг („update your 2FA“) и през него са публикувани злонамерени версии на поне 18 популярни пакета, сред които chalk и debug. Сумарно те имат ~2 млрд. изтегляния седмично. Първите сигнали и технически разбори идват от Aikido, а в GitHub вече има потвърдени тикети за компрометирани версии (напр. chalk 5.6.1, debug 4.4.2).

Атаката започва с много правдоподобен имейл от домейна npmjs.help (а не npmjs.com), който „напомня“ за обновяване на двуфакторната автентикация. След като е взет контрол над акаунта, в пакетите е инжектиран код с цел кражба на крипто/уеб3 активност в браузър (cryptostealer). Някои версии са свалени, но рискът остава за екипите, които са обновили в последните часове.

Това е абсолютен wake-up call за всички организации – няма застраховани. Дори да не пишете JavaScript, ваши инструменти за билд, CLI-та или CI пайплайни вероятно стъпват върху Node/npm и могат да изтеглят уязвими зависимости автоматично. Следете официалните съвети и списъците с засегнати версии и проверете дали сте дърпали ъпдейти в последните 24–48 часа.

За разработчиците:

• прегледайте зависимостите и подзависимостите си, фиксирайте версии и разчитайте на lockfile-и (npm ci)
• ограничете/забранете postinstall скриптове в CI, генерирайте SBOM и наблюдавайте advisories
• Ротирайте npm/GitHub токени,
• активирайте 2FA навсякъде, за предпочитане passkeys, и потвърждавайте подобни съобщения само през директно отворен npmjs.com (не през линкове в имейл – между другото, и засегантият разработчик казва, че „по прицнип не кликам на линкове, но този път…“).

Нова вълна зловредни NPM пакети (сред които crypto-encrypt-ts) е открита – таргетират крипто портфейли, .env файлове и MongoDB бази данни. Малуерът се внедрява като зависимости в проекти, често с обфускиран код и имена наподобяват легитимни библиотеки.

Уязвените пакети изпращат чувствителна информация – API ключове, конфигурации, URI-та – към отдалечен сървър, активирайки бекдор веднага след инсталация или билд. Основната цел засега са проекти, хоствани или разработвани в Турция, но рискът е глобален.

Какво да направите веднага:

• Сканирайте проектите си с npm audit, socket.dev, Snyk.
• Проверете .env файловете – не ги качвайте никъде.
• Избягвайте зависимости с <100 звезди или без GitHub активност.
• Заключвайте версии (package-lock.json), не слагайте * или latest.

Помнете: дори npm install вече не е безопасна операция.