Mini Shai-Hulud атакует Packagist через вредоносный PHP-пакет

В экосистеме PHP, в частности в Packagist, выявлен вредоносный пакет, связанный с продолжающейся кампанией Mini Shai-Hulud. Речь идет о скомпрометированном intercom/intercom-php@5.0.2, который был изменен так, чтобы выполнять вредоносные действия уже в процессе установки — через механизм Composer plugin.

Как работает атака

По данным отчета, злоумышленник встроил в пакет возможность регистрировать себя как Composer plugin. Это позволило запускать код во время установки и обходить стандартные защитные меры, поскольку вредоносная активность маскировалась под обычный рабочий процесс пользователя.

После выполнения вредоносный код запускает shell-script, который загружает среду выполнения JavaScript Bun и выполняет зашифрованный payload. Такой подход используется не только для кражи данных, но и для дальнейшего распространения — в том числе для внедрения вредоносных скриптов в доверенные repositories.

Что именно крадет ВПО

Основная цель атаки — сбор credentials и secrets из сред непрерывной интеграции и непрерывного развертывания, то есть CI/CD. Вредоносная нагрузка ориентирована на получение доступа к:

• cloud services;
• secret management services;
• GitHub credentials;
• токенам, используемым в цепочке разработки и публикации пакетов.

Для эксфильтрации данных используется AES-256-GCM. Если прямая передача информации на заранее определенный endpoint не удается, ВПО может задействовать украденные учетные данные GitHub для скрытой передачи данных.

Параллели с атаками в npm

Отчет подчеркивает, что техника почти полностью повторяет ранее описанные инциденты в экосистеме npm, в частности атаку на intercom-client@7.0.4. В том случае вредоносная нагрузка также запускалась через preinstall hook.

Общие черты двух кампаний включают:

• обфусцированный JavaScript;
• сбор конфиденциальной информации из облачных сервисов;
• доступ к secrets management platforms;
• эксфильтрацию через шифрование AES-256-GCM;
• механизмы распространения в доверенные repositories.

Почему риск распространения особенно высок

Отдельную опасность представляет способность атаки к дальнейшему распространению. В PHP-векторе злоумышленники могут злоупотреблять npm tokens, чтобы изменять и заново публиковать пакеты. Это создает серьезную угрозу для интегрированных development environments, где доверенные цепочки поставок нередко связаны между собой.

Иными словами, атака уже не ограничивается одной экосистемой. Mini Shai-Hulud успешно перемещается из npm в Packagist, демонстрируя способность заражать разные технологические слои и повторять успешные сценарии компрометации.

Рекомендации для организаций

Организациям, использующим скомпрометированный пакет, рекомендуется немедленно провести проверку среды и принять меры по сдерживанию инцидента. В отчете подчеркивается необходимость:

• провести тщательный audit сред разработки и сборки;
• проверить наличие следов выполнения вредоносных install scripts;
• выполнить rotation credentials;
• удалить вредоносный package из всех систем;
• усилить monitoring несанкционированных commits и updates в связанных repositories и проектах.

Эксперты отмечают, что в условиях расширяющейся threat landscape подобная бдительность становится критически важной. Кампания Mini Shai-Hulud показывает, что компрометация supply chain может быстро переходить между экосистемами, затрагивая сразу несколько уровней software development.