Mini Shai-Hulud атаковал цепочку npm: скомпрометировано более 400 пакетов

Microsoft Threat Intelligence раскрыла масштабную кампанию, направленную на компрометацию цепочки поставок npm. По данным экспертов, злоумышленникам удалось заразить свыше 400 пакетов, включая широко известные keyv и flat-cache. В основе атаки лежит самораспространяющийся credential-stealing worm, получивший имя Mini Shai-Hulud, – угроза, способная за считанные часы превратить единичную кражу токена в лавину вредоносных релизов.

Как работает вредоносный код

Заражение начинается с сильно обфусцированного JavaScript-пакета, который внедряется в легитимные проекты. Ключевая особенность – использование хука жизненного цикла preinstall: вредоносный скрипт запускается автоматически ещё до завершения установки пакета, что позволяет обходить многие традиционные защитные механизмы. После запуска malware анализирует среду и ведёт себя по-разному на рабочих станциях разработчиков и в CI/CD environments.

• Сканирует локальные файлы и переменные окружения в поисках credentials npm, GitHub, cloud services и инфраструктурных сервисов.
• Активно вызывает API сервисов (npm, GitHub, Amazon Web Services, Kubernetes, HashiCorp Vault) для проверки найденных учетных данных и извлечения дополнительных secrets.
• Передает собранную информацию на контролируемый злоумышленником HTTPS-эндпоинт; в качестве резервного канала эксфильтрации используются GitHub-репозитории.

Самораспространение и закрепление

Главная опасность Mini Shai-Hulud – способность к самовоспроизведению. Получив доступ к publish token npm, вредонос выполняет серию несанкционированных обновлений:

• Определяет все пакеты, ассоциированные со скомпрометированной учетной записью.
• Загружает последние версии, внедряет собственный код и загрузчик, меняет номер версии.
• Повторно публикует модифицированные tarballs без соответствующих коммитов в исходном коде и легитимной истории релизов.

Таким образом один взломанный мейнтейнер мог породить десятки заражённых пакетов, создавая эффект червя. В некоторых случаях для публикации использовался доступ через OIDC GitHub Actions.

Для долгосрочного присутствия malware модифицирует конфигурационные файлы GitHub и Visual Studio Code, обеспечивая закрепление на машине разработчика. Отдельный компонент пытается установить монитор токенов, который защищает уже захваченные credentials, и содержит обработчик деактивации на случай отзыва контролируемого токена. Наблюдения показывают: изменения конфигураций репозиториев способны вызывать повторную активацию вредоносного кода даже после того, как пакет был удалён с хоста.

Индикаторы и обнаружение

Атака развивалась стремительно. Серия «тихих» патч-релизов без соответствующих записей в системе контроля версий стала одним из главных сигналов компрометации. Специалисты Microsoft подчёркивают, что вредонос не ограничивался проверкой credentials по шаблонам, а проводил реальную аутентификацию на целевых платформах, многократно усиливая масштаб утечки.

Рекомендации по нейтрализации угрозы

Хотя Microsoft Defender XDR обеспечивает детектирование и защитные меры против данной угрозы, эксперты призывают организации действовать исходя из предположения о полной компрометации всех затронутых систем.

• Считать любую среду, где устанавливались подозрительные пакеты, скомпрометированной. Провести расследование на предмет раскрытия credentials и secrets.
• Немедленно отозвать все publish tokens и access tokens, которые могли быть скомпрометированы, включая токены npm, GitHub, AWS, Kubernetes и HashiCorp Vault.
• Выполнить чистую переустановку критичных систем с использованием доверенных образов и исходных кодов, а не восстанавливать из резервных копий, которые могут содержать закладки.
• Аудит конфигурационных файлов GitHub и Visual Studio Code на рабочих станциях разработчиков на предмет несанкционированных изменений.
• Мониторить preinstall-скрипты и другие хуки жизненного цикла в автоматическом режиме, запрещая выполнение обфусцированного кода на этапе установки пакетов.

Кампания Mini Shai-Hulud наглядно демонстрирует, что цепочка поставок открытого кода остаётся критическим вектором атак. Сочетание стремительного самораспространения и глубокого сбора secrets требует от индустрии перехода к более строгим практикам управления доступом и автоматизированной верификации целостности пакетов.

Отчет получен из сервиса CTT Report Hub. Права на отчет принадлежат его владельцу.

Ознакомиться подробнее с отчетом можно по ссылке.