慢霧：Keyv／Cacheable 生態遭大規模 npm 供應鏈攻擊

BlockBeats 8 月 5 日報道，慢霧（SlowMist）表示已偵測到針對 Keyv／Cacheable 生態的大規模 npm 供應鏈攻擊。攻擊者在相關生態內發布逾 2,000 個惡意套件版本，當中包括 keyv@6.0.0。Keyv 為常用的鍵值（key-value）儲存抽象層，支援 Redis、SQLite、PostgreSQL、MongoDB 等後端，每週下載量約 1.27 億次，或令下游依賴鏈面臨廣泛供應鏈風險。 慢霧指出，今次手法與過往 ShaiHulud npm 蠕蟲活動高度相似，顯示攻擊具高自動化及擴散能力。潛在惡意行為包括竊取帳密、外傳環境變數、洩露 CI/CD 金鑰、遠端下發載荷，以及透過受入侵的開發環境進行橫向移動。 慢霧建議安全團隊即時核查並移除受影響版本，升級至已驗證的安全版本；同時檢查依賴鎖檔與建置日誌，監測異常對外連線，並輪換可能已外洩的憑證。如懷疑環境已被入侵，應從可信來源重新建置。