慢霧：GitHub和Grafana安全事件很可能與大規模”迷你沙蟲”供應鏈攻擊相關

攻擊事件概述

近期出現了一場規模龐大的「迷你沙蟲」（Mini Shai-Hulud）供應鏈攻擊，該攻擊針對多個高頻npm包，包括AntV、Echarts-for-react以及Python SDK durabletask，造成廣泛影響。

2024年5月19日，npm帳號atool遭入侵，攻擊者在22分鐘內自動發布了637個惡意版本，涉及317個包。
2024年5月20日00:19至00:54，攻擊者在35分鐘內連續上傳durabletask 1.4.1、1.4.2和1.4.3版本，繞過正常發布控制，並冒充微軟官方發布。