ThaiCERT เตือน tensorlake ฝังหนอนขโมยสิทธิ์ ลบแพ็กเกจอย่างเดียวไม่จบ

ThaiCERT ออกคำเตือนวันที่ 9 ตุลาคม ว่าแพ็กเกจ tensorlake บน npm ถูกฝังมัลแวร์ขโมยข้อมูลเข้าระบบและแพร่ต่อครับ แปลว่าความเสี่ยงอาจเริ่มจากเครื่องคนทำแอป ก่อนมาถึงบริการที่เราใช้ (ThaiCERT) รุ่นที่พบปัญหาคือ 0.5.144 แปลว่าเป็นรุ่นเฉพาะที่ต้องตรวจ ไม่ใช่ข้อสรุปว่าทุกรุ่นติดเชื้อ และถูกเผยแพร่เมื่อวันที่ 8 ตุลาคม ตามรายงาน Aikido

เรื่องนี้มีจุดที่ต้องระวังเป็นพิเศษครับ การรีบเพิกถอนสิทธิ์ GitHub ซึ่งเป็นบริการเก็บและจัดการโค้ด อาจกระตุ้นคำสั่งทำลายข้อมูล หากยังไม่ได้กำจัดตัวเฝ้าสิทธิ์ที่มัลแวร์ทิ้งไว้ ThaiCERT จึงเตือนให้ตรวจและเอากลไกนี้ออกก่อน การรับมือรอบนี้ต้องดูทั้งสิทธิ์ที่รั่วและสิ่งที่ยังทำงานอยู่ในเครื่อง

สรุป 30 วินาที: เกิดอะไรขึ้น

npm คือแหล่งแจกส่วนประกอบสำเร็จรูปสำหรับโปรแกรมภาษา JavaScript ส่วน แพ็กเกจ คือชุดโค้ดที่คนทำแอปนำมาใช้ต่อได้ tensorlake เป็นชุดเครื่องมือเชื่อมแอปกับบริการของ Tensorlake ซึ่งรวมพื้นที่แยกสำหรับรันโค้ดที่ AI สร้างขึ้น Socket ระบุว่าการติดตั้งรุ่นอันตรายทำให้เครื่องที่ติดตั้งเสี่ยง ก่อนโค้ดจะเข้าพื้นที่แยกนั้นด้วยซ้ำ

Socket เรียกการโจมตีนี้ว่า ChainDrop / Shai-Hulud โดยพบทั้งการขโมยข้อมูลลับ การส่งข้อมูลออก และการฝังตัวเพื่อกลับมาทำงานต่อ มัลแวร์ยังเป็น worm หรือหนอนคอมพิวเตอร์ หมายถึงโปรแกรมอันตรายที่พยายามแพร่ตัวเองไปยังแพ็กเกจอื่นผ่านสิทธิ์เผยแพร่ที่ขโมยมา (Socket) ไม่จำเป็นต้องรอให้ผู้พัฒนาเปิดใช้ฟังก์ชันของ tensorlake ก่อน เพราะโค้ดอันตรายเริ่มทำงานระหว่างติดตั้งได้เมื่อระบบอนุญาตสคริปต์ติดตั้ง (ThaiCERT)

รุ่นอันตรายถูกถอดออกจาก npm แล้ว ตามรายงาน The Hacker News แต่ GitHub Advisory เตือนว่าการเอาแพ็กเกจออกจากเครื่องไม่ได้รับประกันว่ามัลแวร์ที่ตามมาจะหายทั้งหมด เครื่องที่ติดตั้งหรือรันแพ็กเกจนี้ควรถูกถือว่าถูกยึดอย่างเต็มรูปแบบ (GitHub Advisory)

ทำไมเรื่องนี้เกี่ยวกับคุณ

คนทำงานทั่วไป ผู้ปกครอง หรือเจ้าของร้าน ไม่จำเป็นต้องเคยได้ยินชื่อ npm ก็เข้าใจประเด็นนี้ได้ครับ ความเสี่ยงที่รายงานอยู่ในเครื่องพัฒนาแอปและระบบที่ใช้สร้างหรือส่งแอปขึ้นบริการ หากเครื่องเหล่านั้นเข้าถึงข้อมูลลับได้ มัลแวร์ก็อาจเข้าถึงตามสิทธิ์ของกระบวนการติดตั้ง (Socket) สำหรับคนใช้แอป ความเกี่ยวข้องจึงอยู่ที่ทีมผู้ให้บริการใช้ส่วนประกอบนี้หรือไม่ ไม่ใช่การเห็นคำว่า AI แล้วสรุปว่าตัวเองติดเชื้อ

ข้อมูลที่มัลแวร์เล็งมี token หรือโทเคน ซึ่งเป็นข้อมูลยืนยันสิทธิ์ให้โปรแกรมเข้าบริการแทนเจ้าของ รวมทั้งสิทธิ์เผยแพร่แพ็กเกจและสิทธิ์เข้าถึง GitHub ยังมีข้อมูลเข้าระบบคลาวด์ของ AWS หรือบริการคอมพิวเตอร์ที่เช่าใช้ผ่านอินเทอร์เน็ต ตลอดจนข้อมูลลับของระบบอื่น (ThaiCERT) นี่จึงกระทบงานที่องค์กรทำได้ด้วยสิทธิ์เหล่านั้น มากกว่าการเสียไฟล์โค้ดเพียงอย่างเดียว

ถ้าผู้ให้บริการที่ได้รับผลกระทบเปลี่ยนสิทธิ์หรือกู้ระบบ คุณอาจได้รับแจ้งให้อัปเดตหรือเข้าใช้งานใหม่ได้ นี่เป็นภาพผลกระทบที่อาจเกิดระหว่างรับมือ ไม่ใช่รายงานว่าแอปไทยรายใดกำลังทำเช่นนั้น คำแนะนำของ GitHub Advisory ให้เปลี่ยนข้อมูลลับจากคอมพิวเตอร์อีกเครื่อง แต่แหล่งข่าวชุดนี้ยังไม่ได้ระบุรายชื่อบริการสำหรับผู้ใช้ไทยที่ได้รับผลกระทบ

แล้วคนที่ไม่ได้เขียนโค้ดต้องเริ่มล้างมือถือเลยไหม? ข้อมูลที่มีไม่ได้ชี้ว่ามือถือทุกเครื่องหรือผู้ใช้ AI ทุกคนติดเชื้อครับ เกณฑ์ที่ ThaiCERT ใช้ให้เริ่มตรวจคือระบบที่สคริปต์ติดตั้งรุ่นอันตรายทำงาน คนทั่วไปจึงควรถามผู้ดูแลบริการหรือฝ่าย IT ให้ตรงจุด แทนการลองแก้เครื่องเองจากชื่อข่าว

ทำงานยังไง

การโจมตี supply chain หรือห่วงโซ่อุปทานซอฟต์แวร์ คือการเล่นงานส่วนประกอบที่ผู้อื่นนำไปใช้ต่อ เรื่องนี้เริ่มจากแพ็กเกจที่อยู่ในช่องทางแจกจ่ายจริง Aikido รายงานว่าพบการเปลี่ยนโค้ดในคลังโครงการภายใต้ตัวตนของผู้ดูแล ก่อนมีการเผยแพร่รุ่นอันตราย (Aikido) ชื่อที่คุ้นเคยจึงไม่ได้บอกว่าเนื้อหาของรุ่นใหม่ปลอดภัย

preinstall hook คือคำสั่งที่ถูกเรียกก่อนกระบวนการติดตั้งส่วนประกอบเสร็จ ไม่ใช่ปุ่มที่ผู้ใช้ต้องกดเพิ่ม ในระบบที่อนุญาตคำสั่งประเภทนี้ การติดตั้ง tensorlake รุ่นอันตรายก็เปิดทางให้มัลแวร์เริ่มทำงาน โดยไม่ต้องเรียกใช้ชุดเครื่องมือหรือเริ่มงาน AI ก่อน (Socket) การตรวจเฉพาะว่าแอปเปิดใช้งานแล้วหรือยัง จึงอาจพลาดเหตุที่เกิดตั้งแต่ช่วงเตรียมระบบ

ลองนึกถึงร้านข้าวตามสั่งที่ซื้อวัตถุดิบจากเจ้าประจำครับ ถุงที่ส่งมามีชื่อผู้ขายเดิม แต่ของข้างในถูกสับเปลี่ยนตั้งแต่ต้นทาง พอร้านนำไปเตรียมอาหาร ปัญหาก็เริ่มก่อนลูกค้าได้กิน เปรียบเทียบนี้ช่วยเห็นว่าเหตุใดแพ็กเกจที่ดูน่าไว้ใจจึงกลายเป็นทางผ่านของการโจมตี ตามกลไกติดตั้งที่ Socket อธิบาย

หลังเริ่มทำงาน มัลแวร์ค้นข้อมูลลับที่กระบวนการนั้นเข้าถึงได้ ทั้งไฟล์ในเครื่องและ CI ซึ่งเป็นระบบสร้างและทดสอบซอฟต์แวร์อัตโนมัติ Socket ยังระบุเป้าหมายอย่าง Kubernetes ซึ่งจัดการการรันแอปหลายส่วน และ HashiCorp Vault ซึ่งใช้จัดเก็บข้อมูลลับของระบบ (Socket) สิทธิ์ของเครื่องติดตั้งจึงเป็นตัวกำหนดว่าขอบเขตที่ต้องสอบสวนกว้างแค่ไหน

รายการเป้าหมายยังรวมข้อมูลเชื่อมเข้าเครื่องอื่น ไฟล์ตั้งค่าที่เก็บค่าลับ กระเป๋าคริปโต และข้อมูลแอปสื่อสาร นอกจากนี้ยังมีไฟล์ตั้งค่าของเครื่องมือช่วยพัฒนา AI เช่น Claude, Cursor, Kiro, Windsurf และ Zed (The Hacker News) ต้องแยกคำว่า “มัลแวร์พยายามเก็บ” ออกจาก “ข้อมูลของทุกคนถูกขโมยสำเร็จ” เพราะรายงานนี้ไม่ได้ยืนยันผลการขโมยเป็นรายเครื่อง

การแพร่ต่อเกิดจากสิทธิ์เผยแพร่แพ็กเกจที่ถูกขโมยมา หนอนใช้บัญชีเหยื่อแก้ไขและเผยแพร่แพ็กเกจเพิ่มเติม ทำให้คนที่เชื่อถือบัญชีนั้นอาจรับมัลแวร์ต่ออีกทอด (ThaiCERT) จึงต้องตรวจประวัติการเผยแพร่ด้วย ไม่ใช่ตรวจเฉพาะเครื่องที่เจอแพ็กเกจต้นเรื่อง

จุดหักมุม: รีบเปลี่ยนสิทธิ์ อาจทำให้ข้อมูลเสียหาย

แต่การรีบเพิกถอนโทเคน GitHub ทันทีมีข้อควรระวังครับ มัลแวร์ทิ้ง ตัวเฝ้าโทเคน ไว้ตรวจว่าสิทธิ์ที่ขโมยมายังใช้ได้หรือไม่ หากเพิกถอนก่อนกำจัดกลไกนี้ อาจกระตุ้นคำสั่งลบหรือทำลายข้อมูล (ThaiCERT)

Socket ระบุว่าการเพิกถอนจากที่ใดก็ยังอาจกระตุ้นกลไกทำลายข้อมูลบนเครื่องที่ตัวเฝ้าทำงานอยู่ (Socket) แปลว่าการใช้เครื่องสะอาดเปลี่ยนสิทธิ์เป็นสิ่งจำเป็น แต่ยังไม่ทดแทนขั้นตอนกำจัดตัวเฝ้าบนเครื่องติดเชื้อ

ยังมีการสร้างไฟล์ตั้งค่าให้คำสั่งอันตรายทำงานซ้ำเมื่อเปิดโครงการผ่าน Claude Code หรือ Visual Studio Code ตาม ThaiCERT การลบแพ็กเกจจึงไม่ได้ตอบว่ามีอะไรหลงเหลืออยู่ในโครงการหรือเครื่องบ้าง

เรื่องเงิน / ผลกระทบ

ต้นทุนที่ทีมต้องประเมินคือเวลาหยุดงาน สอบสวน เปลี่ยนข้อมูลลับ และสร้างสภาพแวดล้อมกลับจากแหล่งที่เชื่อถือได้ ขั้นตอนเหล่านี้อยู่ในคำแนะนำของ Socket แต่แหล่งข่าวยังไม่มียอดความเสียหายเป็นเงินบาท จึงไม่ควรเอายอดใช้แพ็กเกจมาคูณเป็นความเสียหายเองครับ

Socket รายงานยอดดาวน์โหลดรวมของแพ็กเกจราว 12,000 ครั้งต่อสัปดาห์ ซึ่งเป็นตัวเลขจากแหล่งเดียว แปลว่าเป็นขนาดการใช้งานตามช่วงเวลา ไม่ใช่จำนวนเครื่องติดเชื้อ (Socket) Aikido รายงานยอดติดตั้งสะสมมากกว่า 100,000 ครั้ง ซึ่งเป็นตัวเลขจากแหล่งเดียวเช่นกัน แปลว่ารวมการติดตั้งที่ผ่านมา ไม่ใช่เฉพาะรุ่นอันตราย (Aikido) ตัวเลขต่างกันเพราะวัดคนละช่วง และไม่ควรนำมาบวกกัน

สำหรับร้านเล็กที่จ้างคนทำเว็บ ประเด็นที่ควรส่งให้ผู้รับจ้างตรวจคือเครื่องพัฒนาและระบบส่งเว็บขึ้นบริการ มีรุ่นที่เกี่ยวข้องหรือไม่ หากพบต้องตรวจบัญชี npm, GitHub และคลาวด์ว่ามีการเผยแพร่หรือการใช้งานผิดปกติ ตาม คำแนะนำ ThaiCERT ส่วนเจ้าของร้านไม่จำเป็นต้องเปิดโครงการมาลองแก้เอง โดยเฉพาะเมื่อรายงานพบกลไกทำงานซ้ำตอนเปิดโครงการ

Aikido ยังพบความพยายามอ่านข้อมูลจากส่วนขยายเบราว์เซอร์สำหรับกระเป๋าคริปโต และมองว่าการเปลี่ยนแปลงนี้อาจสะท้อนความสนใจหารายได้จากเครื่องนักพัฒนาที่ติดเชื้อ (Aikido) นั่นเป็นข้อวิเคราะห์ของ Aikido ไม่ใช่หลักฐานว่ามีเงินถูกโอนออกสำเร็จเท่าใด ทีมจึงต้องประเมินตามข้อมูลและบัญชีที่เข้าถึงได้จริง

ข้อมูลที่ยังไม่ชัด และจุดที่แหล่งข่าวพูดไม่ตรงกัน

คำแนะนำให้เปลี่ยนสิทธิ์มีรายละเอียดต่างกัน GitHub Advisory สนับสนุนให้เปลี่ยนข้อมูลลับทั้งหมดทันทีจากคอมพิวเตอร์อีกเครื่อง และถือเครื่องเดิมว่าถูกยึดเต็มรูปแบบ (GitHub Advisory) แต่ ThaiCERT คัดค้านการเพิกถอนโทเคน GitHub ก่อนตรวจและกำจัดตัวเฝ้า เพราะอาจกระตุ้นคำสั่งทำลายข้อมูล (ThaiCERT) ทั้งสองไม่ได้บอกให้เก็บสิทธิ์ที่รั่วไว้ตลอดไป ความต่างอยู่ที่ลำดับการลงมือ

ปลายทางควบคุมมัลแวร์อธิบายไม่ตรงกันทั้งหมด Socket ระบุว่าไม่มีชื่อโดเมนควบคุมฝังตายตัว และใช้ข้อมูลบน Ethereum ซึ่งเป็นเครือข่ายบล็อกเชนช่วยหาปลายทาง (Socket) ส่วน Aikido ระบุว่าพบชื่อปลายทางฝังไว้ พร้อมกลไกหาปลายทางสำรองบนบล็อกเชน (Aikido) ข้อมูลที่ให้มายังไม่พออธิบายว่าความต่างมาจากตัวอย่างหรือช่วงวิเคราะห์ใด จึงควรใช้หลักฐานจากเครื่องประกอบการตรวจ

ขอบเขตนอก npm ยังไม่ยืนยันว่าถูกโจมตี Aikido ระบุว่า Tensorlake มีแพ็กเกจใน PyPI และ Cargo ซึ่งเป็นแหล่งแจกส่วนประกอบของระบบภาษาอื่น แต่ยังไม่พบสัญญาณว่าผู้โจมตีเผยแพร่เข้าไปได้ ณ เวลาที่รายงาน (Aikido) ข้อนี้ช่วยจำกัดสิ่งที่ยืนยันได้ แต่ไม่ใช่คำรับประกันความปลอดภัยของทุกแพ็กเกจในอนาคต

การกลับไปใช้รุ่นเดิมกับการซ่อมเครื่องเป็นคนละเรื่อง ThaiCERT ยก 0.5.143 เป็นตัวอย่างรุ่นที่เชื่อถือได้ให้ย้อนกลับไประหว่างสอบสวน แปลว่าเป็นทางเลือกหยุดใช้รุ่นอันตราย ไม่ใช่หลักฐานว่าเครื่องสะอาดแล้ว (ThaiCERT) GitHub Advisory ระบุว่ารายการมัลแวร์นี้ไม่มีรุ่นแก้ไข และย้ำว่าเอาแพ็กเกจออกไม่รับประกันการกำจัดมัลแวร์ทั้งหมด (GitHub Advisory)

แหล่งข่าวชุดนี้ยังไม่ได้ระบุจำนวนเครื่องติดเชื้อจริง องค์กรไทยที่ได้รับผลกระทบ หรือข้อมูลที่ถูกขโมยสำเร็จในแต่ละเครื่อง ThaiCERT อ้าง The Hacker News เป็นแหล่งของคำเตือน จึงไม่ควรนับประกาศไทยเป็นการค้นพบการติดเชื้อในไทยเพิ่มเติม (ThaiCERT) ถ้ายังไม่รู้ว่าเครื่องใดรันสคริปต์แล้ว จะประกาศว่าจบเหตุได้จากการเปลี่ยนรุ่นอย่างเดียวจริงหรือ?

แล้วเราควรทำอะไร

คนทั่วไป พนักงาน และเจ้าของธุรกิจที่ไม่ได้ดูแลโค้ด

1. ส่งชื่อแพ็กเกจ [email protected] ให้ฝ่าย IT หรือผู้รับจ้างตรวจ แปลว่าให้ตรวจรุ่นที่มีคำเตือนโดยตรง ขอให้ตรวจทั้งรายการส่วนประกอบและประวัติสร้างระบบ ตามแนวทาง ThaiCERT ไม่ต้องสรุปจากชื่อแอปที่หน้าจอของคุณ
2. หากทีมยืนยันว่าเกี่ยวข้อง ให้ประสานงานการเข้าใช้งานใหม่หรือเปลี่ยนสิทธิ์กับทีมรับมือเหตุ อย่าเร่งเพิกถอนโทเคน GitHub เองก่อนทีมกำจัดตัวเฝ้า เพราะ ThaiCERT เตือนถึงความเสี่ยงทำลายข้อมูล
3. ขอผลตรวจที่บอกว่าเครื่องใดได้รับผลกระทบ และบัญชีที่เกี่ยวข้องถูกตรวจแล้วหรือยัง แยกคำตอบว่า “เอาแพ็กเกจออกแล้ว” ออกจากการสอบสวนสิ่งที่ฝังตัว ตามข้อจำกัดที่ GitHub Advisory ระบุ

นักพัฒนาและทีม IT: ทำตามลำดับรับมือ

1. ตรวจรายการส่วนประกอบ lockfile หรือไฟล์บันทึกรุ่นที่โครงการเลือกติดตั้ง บันทึกการสร้างระบบ และสิ่งที่ส่งขึ้นใช้งาน เพื่อหารุ่นอันตราย บล็อกการติดตั้งเพิ่ม และระบุเครื่องที่สคริปต์ติดตั้งเคยทำงาน (Socket) การพบในไฟล์กับการยืนยันว่ามัลแวร์รันแล้วเป็นข้อมูลคนละชิ้น ต้องสอบสวนต่อให้ครบ
2. แยกเครื่องที่ได้รับผลกระทบออกจากระบบ และถือเครื่องที่โค้ดอันตรายทำงานว่าถูกยึด ตรวจสิ่งที่ฝังตัวไว้แทนการพึ่งการลบส่วนประกอบเพียงอย่างเดียว (Socket) สำหรับเครื่องที่ติดตั้งหรือรันแพ็กเกจ GitHub Advisory ให้ถือว่าถูกยึดเต็มรูปแบบเช่นกัน (GitHub Advisory)
3. ตรวจ หยุด และกำจัด gh-token-monitor ก่อนเพิกถอนโทเคน GitHub ให้ผู้รับผิดชอบตรวจกลไกคงอยู่ตามระบบปฏิบัติการของเครื่องที่เกี่ยวข้อง ไม่ใช่ทำเพียงเครื่องใดเครื่องหนึ่ง Socket ระบุว่าต้องเอาตัวเฝ้าออกก่อน และ ThaiCERT เตือนลำดับเดียวกัน (Socket, ThaiCERT)
4. หลังควบคุมและกำจัดมัลแวร์แล้ว ให้เพิกถอนและออกข้อมูลลับใหม่จากระบบสะอาดที่เชื่อถือได้ ครอบคลุมข้อมูลที่อาจถูกเปิดเผย ไม่ใช่เฉพาะสิทธิ์ตัวแรกที่ตรวจพบ (ThaiCERT) เงื่อนไขใช้คอมพิวเตอร์อีกเครื่องสอดคล้องกับ GitHub Advisory แต่ยังต้องทำขั้นตอนกำจัดตัวเฝ้าก่อน
5. ตรวจบัญชี npm, GitHub และคลาวด์ หาการเผยแพร่แพ็กเกจโดยไม่ได้อนุญาตและกิจกรรมผิดปกติ (ThaiCERT) สร้างสภาพแวดล้อมใหม่จากแหล่งที่เชื่อถือได้ และใช้รุ่นสะอาดที่ตรวจยืนยันก่อนคืนสิทธิ์เข้าถึงข้อมูลลับ ตาม Socket

ผมมองว่า…

ผมมองว่าเรื่องนี้ ไม่ใช่แค่แพ็กเกจเสียหนึ่งตัว แต่คือสิทธิ์ของคนทำระบบถูกนำไปใช้ต่อ จุดที่ต้องตอบให้ได้จึงมีทั้งเครื่องที่เคยติดตั้ง ข้อมูลลับที่เข้าถึงได้ และบัญชีที่อาจใช้เผยแพร่ของอันตรายต่อ ความเห็นนี้อิงพฤติกรรมแพร่ผ่านสิทธิ์ npm ที่ ThaiCERT รายงาน การแก้รุ่นเป็นส่วนหนึ่งของงาน ไม่ควรถูกใช้แทนผลสอบสวนทั้งหมด

ผมมองว่าคนใช้แอปควรได้รับคำอธิบายที่ตรงกับหลักฐาน มากกว่าคำเตือนกว้างจนทุกคนตกใจ ถ้าจำเป็นต้องเปลี่ยนสิทธิ์หรือเข้าใช้งานใหม่ ทีมควรบอกเหตุและขั้นตอนที่ผู้ใช้ต้องทำให้ชัด ส่วนการประกาศว่าระบบกลับมาเชื่อถือได้ ต้องคำนึงถึงคำเตือนของ GitHub Advisory ว่าลบแพ็กเกจแล้วอาจยังมีมัลแวร์เหลือ

ปิดท้าย: สิ่งที่ต้องจับตา

ความเชื่อถือในแอปเริ่มตั้งแต่เครื่องที่ประกอบแอปขึ้นมา ก่อนถึงหน้าจอของคนใช้งานครับ หลังคำเตือน ThaiCERT วันที่ 9 ตุลาคม สิ่งที่ควรติดตามคือผลสอบสวนขอบเขตเครื่องที่ได้รับผลกระทบ และการเผยแพร่แพ็กเกจผิดปกติในบัญชีที่เกี่ยวข้อง ซึ่งเป็นงานตรวจที่ ThaiCERT แนะนำ ยังไม่มีวันรายงานผลเพิ่มเติมในแหล่งข่าวชุดนี้

อีกเรื่องคือหลักฐานว่ากำจัดสิ่งที่ฝังตัวและกู้สภาพแวดล้อมอย่างน่าเชื่อถือแล้ว ตามแนวทาง Socket ไม่ใช่ดูเพียงว่ารุ่นอันตรายหายจากรายการติดตั้ง สำหรับเว็บหรือระบบที่คุณใช้ทำงานอยู่ ใครเป็นคนตรวจส่วนประกอบและแจ้งคุณเมื่อจำเป็นต้องเปลี่ยนสิทธิ์?

Recap

• เกิดอะไรขึ้น: ThaiCERT เตือนแพ็กเกจ tensorlake ฝังหนอนขโมยข้อมูลลับและแพร่ต่อผ่านสิทธิ์เผยแพร่ ดูแหล่ง [5]
• รุ่นที่ต้องจำ: 0.5.144 แปลว่าเป็นรุ่นที่ต้องค้นในรายการส่วนประกอบและประวัติติดตั้ง ไม่ใช่จำนวนผู้ติดเชื้อ ดูแหล่ง [1] และ [2]
• ใครให้รายละเอียดต่างกัน: GitHub Advisory เร่งให้เปลี่ยนข้อมูลลับ ส่วน ThaiCERT และ Socket เตือนให้กำจัดตัวเฝ้าโทเคน GitHub ก่อน ดูแหล่ง [1], [4] และ [5]
• ยังไม่รู้: จำนวนเครื่องติดเชื้อจริง รายชื่อองค์กรไทย และยอดความเสียหาย แหล่งชุดนี้ไม่ได้ให้คำตอบเหล่านั้น
• ผลต่อคุณ: ถ้าทีมของบริการที่ใช้เกี่ยวข้อง อาจต้องประสานการเปลี่ยนสิทธิ์หรือเข้าใช้งานใหม่ อย่าสรุปว่าแอปไทยทุกตัวได้รับผลกระทบ
• สิ่งที่ต้องจับตา: ขอบเขตเครื่องที่สคริปต์ทำงาน การเผยแพร่ผิดปกติ และหลักฐานกู้ระบบจากแหล่งที่เชื่อถือได้ ดูแหล่ง [1] และ [5]
• แหล่งอ้างอิง: 1 — Socket, 2 — Aikido, 3 — The Hacker News, 4 — GitHub Advisory, 5 — ThaiCERT