Mini vierme Shai-Hulud

Actorul amenințător cunoscut sub numele de TeamPCP a fost conectat la o campanie sofisticată de atac asupra lanțului de aprovizionare, care vizează pachete npm și PyPI utilizate pe scară largă, asociate cu TanStack, UiPath, Mistral AI, OpenSearch, Guardrails AI și alte câteva ecosisteme. Operațiunea, legată de campania malware Mini Shai-Hulud în continuă evoluție, demonstrează o escaladare semnificativă a abuzului lanțului de aprovizionare software și a tehnicilor de compromitere bazate pe identitate.

Cercetătorii au identificat faptul că pachetele npm malițioase au fost modificate pentru a include o componentă JavaScript ofuscată numită router_init.js. Această sarcină utilă profilează mediile infectate și implementează un instrument avansat de furt de credențiale care vizează furnizorii de cloud, portofelele de criptomonede, instrumentele de dezvoltare AI, platformele de mesagerie, sistemele CI/CD și mediile GitHub Actions. Datele exfiltrate sunt transmise în principal către domeniul filev2.getsession.org.

Utilizarea infrastructurii Session Protocol evidențiază o încercare deliberată de a eluda controalele de securitate ale întreprinderii. Deoarece domeniul aparține unei platforme de mesagerie descentralizate axate pe confidențialitate, este mai puțin probabil să fie blocat de apărarea tradițională a rețelei. Ca metodă secundară de exfiltrare, datele criptate sunt trimise către depozite controlate de atacatori prin intermediul API-ului GitHub GraphQL, utilizând token-uri de autentificare GitHub furate, sub identitatea autorului claude@users.noreply.github.com.

Mecanisme de persistență și extinderea furtului de acreditări

Malware-ul introduce mai multe capabilități de persistență și supraveghere concepute pentru a menține accesul pe termen lung la mediile de dezvoltare compromise. Hook-uri de persistență sunt stabilite în Claude Code și Microsoft Visual Studio Code, permițând malware-ului să supraviețuiască repornirilor sistemului și să se relanseze automat de fiecare dată când se deschid IDE-urile.

În plus, este implementat un serviciu gh-token-monitor pentru a monitoriza continuu și re-exfiltra token-urile GitHub. Două fluxuri de lucru GitHub Actions malițioase sunt, de asemenea, injectate în depozitele compromise. Aceste fluxuri de lucru serializează secretele depozitului în format JSON și încarcă datele pe endpoint-ul extern api.masscan.cloud.

Cea mai recentă compromitere TanStack diferă semnificativ de incidentele anterioare din lanțul de aprovizionare. În loc să se bazeze pe un hook de preinstalare, atacatorii au încorporat un fișier JavaScript rău intenționat direct în fișierele tar ale pachetelor, introducând în același timp o dependență opțională legată de un pachet găzduit pe GitHub. Această dependență conține un hook de preparare a ciclului de viață care execută sarcina utilă prin mediul de execuție Bun.

Pachetele Mistral AI troianizate au adoptat o strategie de infectare mai veche prin modificarea fișierului package.json cu un hook de preinstalare care invocă nodul setup.mjs. Acest proces descarcă Bun și execută același malware care fură credențiale.

CVE-2026-45321 și abuzul de publicații de încredere

Compromisul TanStack a fost înregistrat oficial ca CVE-2026-45321 și i s-a atribuit un scor critic CVSS de 9,6. Anchetatorii au confirmat că 42 de pachete și 84 de versiuni din ecosistemul TanStack au fost afectate.

Analiza a relevat că compromiterea a provenit dintr-un atac înlănțuit GitHub Actions care exploata declanșatorul pull_request_target, otrăvirea cache-ului GitHub Actions și extragerea în timpul rulării a token-urilor OIDC din runner-ele GitHub Actions. Se pare că atacatorii au creat sarcini utile malițioase prin commit-uri orfane în fork-urile GitHub înainte de a le injecta în fișierele tarball ale pachetelor npm. Apoi, atacatorii au deturnat fluxuri de lucru legitime TanStack/router pentru a publica pachete compromise cu atestări SLSA valide de proveniență.

Această evoluție marchează o escaladare istorică a atacurilor asupra lanțului de aprovizionare software. Pachetele rău intenționate conțineau semnături valide de proveniență SLSA Build Level 3, ceea ce face ca acesta să fie primul vierme npm documentat capabil să distribuie pachete rău intenționate cu atestări autentice de compilare. Campania malware s-a extins ulterior dincolo de TanStack și s-a răspândit în ecosisteme întreținute de UiPath, DraftLab și alți dezvoltatori.

Operațiunea abuzează grav fluxurile de lucru de publicare de încredere. În loc să fure direct acreditările npm, codul controlat de atacatori care rula în interiorul conductelor CI/CD de încredere a folosit permisiunile OIDC pentru a crea token-uri de publicare de scurtă durată în timpul procesului de compilare. Acest lucru a permis publicarea pachetelor rău intenționate prin conducte de lansare legitime, ocolind în același timp măsurile de siguranță convenționale de autentificare.

Comportamentul viermilor autopropagați trage semnale de alarmă

Unul dintre cele mai periculoase aspecte ale campaniei Mini Shai-Hulud este modelul său de propagare asemănător unui vierme. Malware-ul caută activ token-uri npm publicabile configurate cu bypass_2fa=true, enumeră pachetele întreținute de dezvoltatorul compromis și schimbă token-uri GitHub OIDC cu token-uri de publicare per pachet. Acest mecanism permite malware-ului să se răspândească lateral în ecosistemele de pachete fără a se baza pe tehnicile tradiționale de furt de credențiale.

Atacul a exploatat, de asemenea, configurațiile de încredere la nivel de repozitoriu din cadrul modelului de publicare de încredere OIDC al GitHub. Deoarece încrederea a fost acordată pe scară largă la nivel de repozitoriu, în loc să fie restricționată la ramuri protejate și fișiere specifice de flux de lucru, execuțiile de fluxuri de lucru rău intenționate, declanșate de commit-uri orfane, au putut solicita token-uri de publicare npm legitime.

O altă funcționalitate tulburătoare implică implementarea unui „comutator de tip om mort”. Malware-ul instalează un script shell care interoghează în mod repetat endpoint-ul api.github.com/user la fiecare 60 de secunde pentru a determina dacă token-urile npm create de atacator rămân active. Aceste token-uri poartă descrierea amenințătoare IfYouRevokeThisTokenItWillWipeTheComputerOfTheOwner.

Dacă apărătorii revocă token-ul prin intermediul tabloului de bord npm, malware-ul lansează o rutină distructivă executând rm -rf ~/, transformând efectiv infecția într-un malware de tip wiper. Acest comportament agresiv indică o evoluție substanțială a tacticilor operaționale ale TeamPCP și demonstrează o sofisticare crescândă a metodelor coercitive de persistență. Prin urmare, echipelor de securitate li se recomandă să izoleze și să creeze imagini ale sistemelor infectate înainte de a revoca acreditările npm compromise.

Pachetele afectate și impactul în expansiune asupra ecosistemului

Campania a afectat peste 170 de pachete atât în npm, cât și în PyPI, reprezentând împreună peste 518 milioane de descărcări. Anchetatorii au identificat, de asemenea, cel puțin 400 de depozite create folosind acreditări furate, toate conținând sintagma „Shai-Hulud: Here We Go Again”.

Pachetele afectate includ:

guardrails-ai@0.10.1 (PyPI)
mistralai@2.4.6 (PyPI)
@opensearch-project/opensearch@3.5.3, 3.6.2, 3.7.0, 3.8.0
@squawk/mcp@0.9.5
@squawk/vreme@0.5.10
@squawk/plan de zbor@0.5.6
@tallyui/connector-medusa@1.0.1, 1.0.2, 1.0.3
@tallyui/connector-vendure@1.0.1, 1.0.2, 1.0.3

Malware-ul folosește, de asemenea, mai multe canale redundante de exfiltrare. Pe lângă infrastructura Session Protocol și deaddrop-urile GitHub, datele de autentificare furate sunt transmise prin domeniul typosquatted git-tanstack.com.

Malware-ul PyPI introduce o logică distructivă georeferențiată

Variantele de malware bazate pe Python asociate cu pachetele malițioase Mistral AI și Guardrails AI diferă substanțial de sarcinile utile JavaScript distribuite prin npm. Pachetul PyPI mistralai compromis descarcă un furt de credențiale de la gazda la distanță 83.142.209.194.

Cercetătorii au descoperit că malware-ul Python conține o logică specifică țării, concepută pentru a evita execuția în medii cu limbă rusă. De asemenea, include un mecanism distructiv geofenced care introduce o probabilitate de unu din șase de a executa comanda rm -rf / dacă sistemul infectat pare să fie localizat în Israel sau Iran.

Acest comportament demonstrează o evoluție îngrijorătoare către implementarea de sarcini distructive, conștiente de regiune, în cadrul ecosistemelor de pachete open-source.

Amenințarea tot mai mare a atacurilor asupra lanțului de aprovizionare bazate pe identitate

Campania Mini Shai-Hulud reflectă o transformare mai amplă în atacurile moderne asupra lanțului de aprovizionare. În loc să se concentreze exclusiv pe compromiterea pachetelor, actorii amenințători vizează din ce în ce mai mult identitățile CI/CD de încredere, fluxurile de lucru pentru publicare și canalele de automatizare bazate pe cloud.

Odată ce atacatorii obțin acces la infrastructura de publicare a software-ului, însăși pipeline-ul de dezvoltare devine mecanismul de distribuție a programelor malware. Deoarece multe acțiuni rău intenționate au loc prin fluxuri de lucru legitime, atestări de încredere și sisteme de lansare autentice, controalele de securitate tradiționale pot eșua în identificarea comportamentelor rău intenționate.

Caracteristicile cheie care definesc această nouă generație de atacuri asupra lanțului de aprovizionare includ:

• Abuzul mecanismelor de publicare de încredere și de schimb de tokenuri OIDC
• Propagare prin fluxuri de lucru CI/CD legitime și sisteme de compilare

• Utilizarea atestărilor SLSA valide pentru a masca pachete rău intenționate

• Operațiuni de exfiltrare și persistență a acreditărilor pe mai multe canale

• Mecanisme distructive de represalii concepute pentru a intimida apărătorii

Extinderea campaniei în instrumente de inteligență artificială, automatizare enterprise, infrastructură de căutare, dezvoltare frontend, instrumente legate de aviație și ecosisteme CI/CD demonstrează cât de profund interconectate au devenit lanțurile de aprovizionare software. Monitorizarea comportamentală în timpul instalării pachetelor și executării build-ului este acum din ce în ce mai critică pentru detectarea amenințărilor care par legitime la prima vedere.