ผู้โจมตีเปิดฉากการโจมตีห่วงโซ่อุปทานขนาดใหญ่แบบ “Mini Shai-Hulud” โดยทำให้เวอร์ชันแพ็กเกจ npm จำนวน 637 เวอร์ชันถูกบุกรุกภายในเวลา 22 นาทีในวันที่ 19 พฤษภาคม

ตาม Slowmist เมื่อวันที่ 19-20 พฤษภาคม ผู้โจมตีเข้าควบคุมบัญชี npm ของ atool และเผยแพร่เวอร์ชันที่เป็นอันตรายจำนวน 637 รายการโดยอัตโนมัติใน 317 แพ็กเกจภายใน 22 นาที ระหว่างเวลา 00:19 ถึง 00:54 ตามเวลาปักกิ่งของวันที่ 20 พฤษภาคม ผู้โจมตีได้อัปโหลด durabletask เวอร์ชัน 1.4.1, 1.4.2 และ 1.4.3 โดยแอบอ้างว่าเป็นการปล่อยอย่างเป็นทางการของ Microsoft

ส่วนประกอบที่มีการใช้งานความถี่สูงที่ได้รับผลกระทบ ได้แก่ AntV และ Echarts-for-react ในระบบนิเวศ npm รวมถึง durabletask ใน Python Slowmist เชื่อมโยงการรั่วไหลของโทเคน GitHub แบบกลุ่ม และการโจมตีแรนซัมแวร์ของ Grafana Labs เข้ากับแคมเปญนี้ ผู้โจมตีสามารถขโมยข้อมูลรับรอง เข้าถึงระบบภายในโดยไม่ได้รับอนุญาต เคลื่อนย้ายแบบข้างผ่านผ่านไปตามสาย CI/CD และรีดไถองค์กรโดยใช้โทเคน GitHub ที่ถูกบุกรุก