Threat Response - Supply Chain Compromise of npm Packages Leading to Credential Theft

Dutch follows English

Dear Reader,

Dear Reader, A sophisticated self-propagating worm called "ChainDrop" has infected the npm software package ecosystem, compromising 444 packages with over 2,200 malicious versions. This attack targeted widely-used JavaScript development tools and has already affected multiple organizations' software supply chains. Northwave recommends checking project dependencies for affected versions. Details regarding which versions are affacted can be found below.

On August 4, 2026, attackers compromised a maintainer's GitHub account and injected malicious code into popular npm packages including keyv, flat-cache, and file-entry-cache, packages with over 150 million weekly downloads each. The attack used the projects' own legitimate release systems to publish malware with valid security credentials, making it appear trustworthy. The malicious code then spread itself automatically by stealing credentials from infected systems and using them to infect other packages. The malware steals passwords, access tokens, cloud credentials, and other sensitive information from development environments and CI/CD systems, then sends this stolen data to attacker-controlled servers using an Ethereum blockchain-based command system that is difficult to block.

We estimate the impact of these vulnerabilities as HIGH. These packages are fundamental building blocks used by many JavaScript projects, meaning the malware could have executed on developer workstations, in automated build systems, and across enterprise development environments worldwide. The malware specifically targets credentials used for publishing software, cloud infrastructure access, and development tools, giving attackers potential access to your organisation's code repositories, cloud environments, and secrets management systems.

We estimate the risk of these vulnerabilities as HIGH. The malware executes automatically during normal package installation (when developers run "npm install"), requires no user interaction, and was cryptographically signed in a way that made it appear legitimate. It spreads itself automatically using stolen credentials, can persist on infected systems through multiple mechanisms, and continues to communicate with attacker infrastructure. Any development environment or build system that installed packages during the exposure window (approximately August 4, 2026, 09:35-13:20 UTC) should be considered potentially compromised.

All affected package versions have been removed from the npm registry. Organisations should immediately check their package lock files for compromised package versions. At minimum, check for the following confirmed malicious packages and versions:

• keyv 6.0.0
• flat-cache 6.1.24
• file-entry-cache 11.1.6
• cacheable-request 13.0.20
• @cacheable/utils 2.5.1 cacheable 2.5.1
• @cacheable/memory 2.2.1 cache-manager 7.2.10
• @cacheable/node-cache 3.1.2 ecto 5.0.1
• @cacheable/net 2.1.1

According to StepSecurity, an additional 433 packages were affected, bringing the total to 444 compromised packages and 2,212 malicious versions. Therefore, also check the full list of compromised packages in the StepSecurity article: ChainDrop npm Worm: Bun-loaded CI/CD credential harvester with Ethereum dead-drop C2 - StepSecurity

Onderstaande tekst is automatisch vertaald en kan daardoor fouten bevatten.

Geachte lezer,

Een geavanceerde zelfverspreidende worm genaamd "ChainDrop" heeft het npm-softwarepakketecosysteem geïnfecteerd, waarbij 444 pakketten met meer dan 2.200 kwaadaardige versies zijn gecompromitteerd. Deze aanval was gericht op veelgebruikte JavaScript-ontwikkeltools en heeft al impact gehad op de software supply chains van meerdere organisaties. Northwave adviseert om dependencies te controleren op getroffen versies. Details over welke versies getroffen zijn, vindt u hieronder.

Beschrijving

Op 4 augustus 2026 hebben aanvallers het GitHub-account van een maintainer gecompromitteerd en kwaadaardige code geïnjecteerd in populaire npm-pakketten, waaronder keyv, flat-cache en file-entry-cache. Elk van deze pakketten heeft meer dan 150 miljoen wekelijkse downloads. De aanval was bijzonder geavanceerd: de aanvallers maakten gebruik van de legitieme releaseprocessen van de projecten zelf om malware te publiceren met geldige beveiligingsreferenties, waardoor deze betrouwbaar leek. De kwaadaardige code verspreidde zichzelf vervolgens automatisch door inloggegevens van geïnfecteerde systemen te stelen en deze te gebruiken om andere pakketten te infecteren. De malware steelt wachtwoorden, access tokens, cloudreferenties en andere gevoelige informatie uit ontwikkelomgevingen en CI/CD-systemen. Deze gestolen gegevens worden vervolgens verstuurd naar servers die onder controle staan van de aanvallers, via een op Ethereum-blockchain gebaseerd commandosysteem dat moeilijk te blokkeren is.

Impact

Wij schatten de impact van deze kwetsbaarheden in als HOOG. Deze pakketten vormen fundamentele bouwstenen die door talloze JavaScript-projecten worden gebruikt. Dit betekent dat de malware uitgevoerd kan zijn op ontwikkelwerkstations, in geautomatiseerde buildsystemen en binnen enterprise-ontwikkelomgevingen wereldwijd. De malware richt zich specifiek op referenties die worden gebruikt voor het publiceren van software, toegang tot cloudinfrastructuur en ontwikkeltools. Hierdoor kunnen aanvallers mogelijk toegang krijgen tot de code repositories, cloudomgevingen en secrets management-systemen van uw organisatie.

Risico

Wij schatten het risico van deze kwetsbaarheden in als HOOG. De malware wordt automatisch uitgevoerd tijdens een normale pakketinstallatie, bijvoorbeeld wanneer ontwikkelaars "npm install" uitvoeren, vereist geen gebruikersinteractie en was cryptografisch ondertekend op een manier waardoor deze legitiem leek. De malware verspreidt zichzelf automatisch met behulp van gestolen referenties, kan via meerdere mechanismen persistent aanwezig blijven op geïnfecteerde systemen en blijft communiceren met infrastructuur van de aanvallers. Elke ontwikkelomgeving of elk buildsysteem waarop tijdens het blootstellingsvenster, ongeveer 4 augustus 2026 van 09:35 tot 13:20 UTC, pakketten zijn geïnstalleerd, moet als mogelijk gecompromitteerd worden beschouwd.

Mitigatie

Alle getroffen pakketversies zijn verwijderd uit de npm-registry. Organisaties dienen onmiddellijk hun package lock-bestanden te controleren op gecompromitteerde pakketversies. Controleer in ieder geval op de volgende bevestigde geïnfecteerde pakketten en versies:

• keyv 6.0.0
• flat-cache 6.1.24
• file-entry-cache 11.1.6
• cacheable-request 13.0.20
• @cacheable/utils 2.5.1 cacheable 2.5.1
• @cacheable/memory 2.2.1 cache-manager 7.2.10
• @cacheable/node-cache 3.1.2 ecto 5.0.1
• @cacheable/net 2.1.1

Daarnaast zijn volgens StepSecurity nog 433 aanvullende pakketten en in totaal 2.212 versies getroffen. Controleer daarom ook de volledige lijst met gecompromitteerde pakketten in het StepSecurity-artikel: ChainDrop npm Worm: Bun-loaded CI/CD credential harvester with Ethereum dead-drop C2 - StepSecurity

Wat dient u te doen?

Controleer alle dependency-bestanden van uw projecten (package-lock.json, yarn.lock, pnpm-lock.yaml) op de gecompromitteerde pakketten die in de mitigatiesectie worden genoemd, of op ChainDrop npm Worm: Bun-loaded CI/CD credential harvester with Ethereum dead-drop C2 - StepSecurity. Als u overeenkomsten vindt, behandel deze systemen dan als gecompromitteerd en neem contact op met het Northwave CERT voor ondersteuning

Wat zal Northwave doen?

Wij zullen verdere ontwikkelingen met betrekking tot deze aanval monitoren. Indien er nieuwe kritieke informatie over deze dreiging beschikbaar komt, nemen wij contact met u op. U kunt ons telefonisch bereiken of een e-mail sturen voor aanvullende informatie.

Telefoonnummer: +31 (0)30-303 1244 (tijdens kantooruren) E-mail: soc@northwave-cybersecurity.com  Heeft u op dit moment een incident? Bel ons Incident Response Team: 00800 1744 0000

Disclaimer

Northwave has made every effort to make this information accurate and reliable. However, the information provided is without warranty of any kind and its use is at the sole risk of the user. Northwave does not accept any responsibility or liability for the accuracy, content, completeness, legality or reliability of the information provided. We will not be liable for any loss or damage of whatever nature, direct or indirect, consequential or other, whether arising in contract, tort or otherwise, which may arise as a result of your use of, or inability to use, this information or any additional information provided by us in direct or indirect relation to the information provided here.