Mini Shai-Hulud Worm

Ang aktor ng banta na kilala bilang TeamPCP ay konektado sa isang sopistikadong kampanya sa pag-atake sa supply chain na nagta-target sa malawakang ginagamit na mga npm at PyPI package na nauugnay sa TanStack, UiPath, Mistral AI, OpenSearch, Guardrails AI, at ilan pang iba pang mga ecosystem. Ang operasyon, na nauugnay sa umuusbong na kampanya ng Mini Shai-Hulud malware, ay nagpapakita ng isang makabuluhang pagtaas sa pang-aabuso sa supply chain ng software at mga pamamaraan ng pagkompromiso na hinimok ng pagkakakilanlan.

Natukoy ng mga mananaliksik na ang mga malisyosong npm package ay binago upang maisama ang isang obfuscated JavaScript component na pinangalanang router_init.js. Ang payload na ito ay nagpo-profile ng mga nahawaang kapaligiran at nagde-deploy ng isang advanced credential stealer na nagta-target sa mga cloud provider, cryptocurrency wallet, AI development tool, messaging platform, CI/CD system, at GitHub Actions environment. Ang mga exfiltrated na data ay pangunahing ipinapadala sa filev2.getsession.org domain.

Ang paggamit ng imprastraktura ng Session Protocol ay nagpapakita ng isang sinasadyang pagtatangka na umiwas sa mga kontrol sa seguridad ng enterprise. Dahil ang domain ay kabilang sa isang desentralisadong platform ng pagmemensahe na nakatuon sa privacy, mas malamang na hindi ito maharangan ng mga tradisyonal na depensa ng network. Bilang pangalawang paraan ng exfiltration, ang naka-encrypt na data ay inilalagay sa mga repository na kontrolado ng attacker sa pamamagitan ng GitHub GraphQL API gamit ang mga ninakaw na GitHub authentication token sa ilalim ng pagkakakilanlan ng may-akda na claude@users.noreply.github.com.

Mga Mekanismo ng Pagtitiyaga at Pagpapalawak ng Pagnanakaw ng Kredensyal

Ang malware ay nagpapakilala ng ilang kakayahan sa persistence at surveillance na idinisenyo upang mapanatili ang pangmatagalang access sa mga nakompromisong development environment. Ang mga persistence hook ay itinatatag sa loob ng Claude Code at Microsoft Visual Studio Code, na nagpapahintulot sa malware na makaligtas sa mga pag-reboot ng system at awtomatikong ilunsad muli tuwing bubuksan ang mga IDE.

Bukod pa rito, isang serbisyong gh-token-monitor ang inilunsad upang patuloy na subaybayan at muling i-exfiltrate ang mga token ng GitHub. Dalawang malisyosong workflow ng GitHub Actions ang inilalagay din sa mga nakompromisong repository. Ang mga workflow na ito ay nagse-serialize ng mga lihim ng repository sa JSON format at ina-upload ang data sa external endpoint api.masscan.cloud.

Ang pinakabagong kompromiso sa TanStack ay may malaking pagkakaiba sa mga naunang insidente ng supply chain. Sa halip na umasa sa isang preinstall hook, ang mga attacker ay direktang nag-embed ng isang malisyosong JavaScript file sa mga package tarball habang nagpapakilala ng isang opsyonal na dependency na naka-link sa isang GitHub-hosted package. Ang dependency na iyon ay naglalaman ng isang prepare lifecycle hook na nagpapatupad ng payload sa pamamagitan ng Bun runtime environment.

Ang mga trojanized na Mistral AI package ay gumamit ng mas lumang estratehiya sa pag-infect sa pamamagitan ng pagbabago sa package.json file gamit ang isang preinstall hook na nag-o-invoke ng node setup.mjs. Dina-download ng prosesong ito ang Bun at isinasagawa ang parehong malware na nagnanakaw ng kredensyal.

CVE-2026-45321 at ang Pang-aabuso sa Pinagkakatiwalaang Paglalathala

Ang kompromiso sa TanStack ay opisyal na nasubaybayan bilang CVE-2026-45321 at binigyan ng kritikal na marka ng CVSS na 9.6. Kinumpirma ng mga imbestigador na 42 na pakete at 84 na bersyon sa loob ng ecosystem ng TanStack ang naapektuhan.

Isiniwalat ng pagsusuri na ang kompromiso ay nagmula sa isang chained GitHub Actions attack na gumagamit ng pull_request_target trigger, GitHub Actions cache poisoning, at runtime extraction ng mga OIDC token mula sa mga GitHub Actions runner. Iniulat na nag-stage ang mga attacker ng mga malisyosong payload sa pamamagitan ng mga orphaned commit sa GitHub forks bago ini-inject ang mga ito sa mga npm package tarball. Pagkatapos ay na-hijack ng mga attacker ang mga lehitimong workflow ng TanStack/router upang mag-publish ng mga nakompromisong package na may wastong mga SLSA provenance attestation.

Ang pag-unlad na ito ay nagmamarka ng isang makasaysayang pagtaas sa mga pag-atake sa supply chain ng software. Ang mga malisyosong pakete ay may mga wastong lagda ng pinagmulan ng SLSA Build Level 3, na ginagawa itong unang dokumentadong npm worm na may kakayahang mamahagi ng mga malisyosong pakete na may mga tunay na pagpapatunay ng build. Ang kampanya ng malware ay kalaunan ay lumawak nang higit pa sa TanStack at kumalat sa mga ecosystem na pinapanatili ng UiPath, DraftLab, at iba pang mga developer.

Labis na inaabuso ng operasyon ang mga pinagkakatiwalaang daloy ng trabaho sa pag-publish. Sa halip na direktang nakawin ang mga kredensyal ng npm, ginamit ng attacker-controlled code na tumatakbo sa loob ng mga pinagkakatiwalaang CI/CD pipeline ang mga pahintulot ng OIDC upang gumawa ng mga panandaliang token sa pag-publish habang nasa proseso ng pagbuo. Dahil dito, na-publish ang mga malisyosong pakete sa pamamagitan ng mga lehitimong release pipeline habang nilalampasan ang mga kumbensyonal na pananggalang sa pagpapatotoo.

Ang Pag-uugali ng Uod na Kusang-loob na Nagpapadami ay Nagdudulot ng Alarma

Isa sa mga pinakadelikadong aspeto ng kampanyang Mini Shai-Hulud ay ang mala-worm na modelo ng pagpapalaganap nito. Aktibong hinahanap ng malware ang mga npm token na maaaring i-publish na naka-configure gamit ang bypass_2fa=true, inililista ang mga package na pinapanatili ng nakompromisong developer, at pinapalitan ang mga GitHub OIDC token para sa mga token na inilathala kada package. Ang mekanismong ito ay nagbibigay-daan sa malware na kumalat nang pahalang sa mga ecosystem ng package nang hindi umaasa sa mga tradisyonal na pamamaraan ng pagnanakaw ng kredensyal.

Sinamantala rin ng pag-atake ang mga configuration ng trust sa antas ng repository sa loob ng OIDC trusted publisher model ng GitHub. Dahil ang trust ay malawakang ipinagkaloob sa antas ng repository sa halip na limitado sa mga protektadong branch at mga partikular na workflow file, ang mga malisyosong workflow execution na na-trigger ng mga orphaned commit ay nagawang humiling ng mga lehitimong npm publish token.

Ang isa pang nakakabahalang kakayahan ay ang pag-deploy ng isang 'dead-man's switch.' Nag-i-install ang malware ng shell script na paulit-ulit na sumusuri sa api.github.com/user endpoint bawat 60 segundo upang matukoy kung nananatiling aktibo ang mga npm token na nilikha ng attacker. Ang mga token na ito ay may kasamang nagbabantang paglalarawan na IfYouRevokeThisTokenItWillWipeTheComputerOfTheOwner.

Kung babawiin ng mga tagapagtanggol ang token sa pamamagitan ng npm dashboard, maglulunsad ang malware ng isang mapanirang routine na nagpapatupad ng rm -rf ~/, na epektibong ginagawang wiper malware ang impeksyon. Ang agresibong pag-uugaling ito ay nagpapahiwatig ng isang malaking ebolusyon sa mga taktika sa pagpapatakbo ng TeamPCP at nagpapakita ng pagtaas ng pagiging sopistikado sa mga pamamaraan ng coercive persistence. Samakatuwid, pinapayuhan ang mga security team na ihiwalay at i-imahe ang mga nahawaang sistema bago bawiin ang mga nakompromisong npm credential.

Mga Apektadong Pakete at Lumalawak na Epekto sa Ekosistema

Ang kampanya ay nakaapekto sa mahigit 170 na pakete sa parehong npm at PyPI, na sama-samang bumubuo sa mahigit 518 milyong download. Natukoy din ng mga imbestigador ang hindi bababa sa 400 repository na nilikha gamit ang mga ninakaw na kredensyal, na lahat ay naglalaman ng pariralang 'Shai-Hulud: Here We Go Again.'

Kabilang sa mga apektadong pakete ang:

mga guardrail-ai@0.10.1 (PyPI)
mistralai@2.4.6 (PyPI)
@opensearch-project/opensearch@3.5.3, 3.6.2, 3.7.0, 3.8.0
@squawk/mcp@0.9.5
@squawk/weather@0.5.10
@squawk/flightplan@0.5.6
@tallyui/connector-medusa@1.0.1, 1.0.2, 1.0.3
@tallyui/connector-vendure@1.0.1, 1.0.2, 1.0.3

Gumagamit din ang malware ng maraming paulit-ulit na exfiltration channels. Bukod sa imprastraktura ng Session Protocol at mga dead drop ng GitHub, ang mga ninakaw na kredensyal ay ipinapadala sa pamamagitan ng typosquatted domain na git-tanstack.com.

Ipinakikilala ng PyPI Malware ang Geofenced Destructive Logic

Ang mga variant ng malware na nakabatay sa Python na nauugnay sa malisyosong Mistral AI at Guardrails AI packages ay lubhang naiiba sa mga JavaScript payload na ipinamamahagi sa pamamagitan ng npm. Ang nakompromisong mistralai PyPI package ay nagda-download ng credential stealer mula sa remote host na 83.142.209.194.

Natuklasan ng mga mananaliksik na ang Python malware ay naglalaman ng country-aware logic na idinisenyo upang maiwasan ang pagpapatupad sa mga kapaligirang gumagamit ng wikang Ruso. Kasama rin dito ang isang geofenced destructive mechanism na nagpapakilala ng isa-sa-anim na probabilidad ng pagpapatupad ng rm -rf / kung ang nahawaang sistema ay tila matatagpuan sa Israel o Iran.

Ang pag-uugaling ito ay nagpapakita ng isang nakababahalang ebolusyon tungo sa pag-deploy ng mapanirang payload na may kamalayan sa rehiyon sa loob ng mga open-source package ecosystem.

Ang Lumalaking Banta ng mga Pag-atake sa Supply Chain na Pinapatakbo ng Pagkakakilanlan

Ang kampanyang Mini Shai-Hulud ay sumasalamin sa mas malawak na transpormasyon sa mga modernong pag-atake sa supply chain. Sa halip na tumuon lamang sa pagkompromiso sa pakete, ang mga aktor ng banta ay lalong tinatarget ang mga pinagkakatiwalaang pagkakakilanlan ng CI/CD, mga daloy ng trabaho sa paglalathala, at mga pipeline ng automation na nakabatay sa cloud.

Kapag nakakuha na ng access ang mga umaatake sa imprastraktura ng paglalathala ng software, ang pipeline ng pag-develop mismo ang nagiging mekanismo ng pamamahagi ng malware. Dahil maraming malisyosong aksyon ang nangyayari sa pamamagitan ng mga lehitimong daloy ng trabaho, mga pinagkakatiwalaang pagpapatunay, at mga tunay na sistema ng paglabas, maaaring hindi matukoy ng mga tradisyunal na kontrol sa seguridad ang malisyosong pag-uugali.

Ang mga pangunahing katangian na tumutukoy sa bagong henerasyong ito ng mga pag-atake sa supply chain ay kinabibilangan ng:

• Pag-abuso sa pinagkakatiwalaang paglalathala at mga mekanismo ng pagpapalitan ng token ng OIDC
• Pagpapalaganap sa pamamagitan ng mga lehitimong daloy ng trabaho ng CI/CD at mga sistema ng pagbuo

• Paggamit ng mga wastong SLSA attestation upang itago ang mga malisyosong pakete

• Mga operasyon sa pag-exfiltration at persistence ng kredensyal sa maraming channel

• Mga mapanirang mekanismo ng paghihiganti na idinisenyo upang takutin ang mga tagapagtanggol

Ang paglawak ng kampanya sa AI tooling, enterprise automation, search infrastructure, frontend development, aviation-related tooling, at CI/CD ecosystems ay nagpapakita kung gaano na kalalim ang pagkakaugnay-ugnay ng mga software supply chain. Ang behavioral monitoring habang nag-i-install ng package at build execution ay lalong nagiging mahalaga ngayon para sa pagtukoy ng mga banta na tila lehitimo sa unang tingin.