Bij het keyv/cacheable npm-pakket is een compromittering ontdekt waarbij het intrekken van het token juist de aanval activeert.
Wanneer een gecompromitteerd pakket wordt uitgevoerd op een build-host, is de automatische reactie vaak om het npm-token in te trekken, de GitHub PAT te roteren en cloud-sleutels te vernieuwen. Deze reflex is in vrijwel alle supply-chain incidenten juist geweest. Bij de keyv/cacheable compromittering, die sinds gisteren aan het licht is gekomen, is dit echter niet de juiste eerste stap.
Het intrekken van het gestolen token blijkt namelijk precies de actie te zijn die de payload activeert. Hierdoor wordt het schadelijke effect van de aanval juist versterkt. Dit betekent dat organisaties die met deze compromittering te maken hebben, eerst andere maatregelen moeten nemen voordat zij overgaan tot het intrekken van credentials. Het incident benadrukt het belang van een gedegen analyse van de aanvalsmethode voordat standaardreacties worden ingezet.
