Shai-Hulud атакует GitHub: украдены ключи AWS и секреты

8 июня 2026 года аккаунт GitHub одного из сооснователей популярного open-source инструмента для разработчиков на базе ИИ Pythagora-io/gpt-pilot был скомпрометирован. В результате злоумышленники осуществили force-push вредоносного кода, предназначенного для кражи учетных данных. Атака стала очередным эпизодом кампании, связанной с worm Shai-Hulud, и вновь привлекла внимание к уязвимостям цепочки поставок программного обеспечения.

Что произошло

По данным отчета, вредоносный код был реализован как 758-kilobyte obfuscated JavaScript stealer, ориентированный на компрометацию конфиденциальных секретов, включая:

• ключи AWS;
• секреты GitHub;
• SSH keys.

Особенность атаки заключалась не только в краже учетных данных, но и в скрытном управлении зараженной средой. Вредоносное ПО использовало GitHub commit messages в качестве скрытого канала управления (C2), а эксфильтрацию данных проводило через создание и фиксацию изменений в новых GitHub repositories. Такой подход серьезно осложняет обнаружение вредоносной активности, поскольку она маскируется под обычные действия разработчика.

Скрытие следов и подмена истории

Атакующий пошел на дополнительную меру сокрытия: вредоносному коммиту задним числом была присвоена дата August 2025. Это должно было скрыть присутствие malicious code в истории проекта и затруднить расследование инцидента.

Отдельного внимания заслуживает тот факт, что вредоносное ПО использует Python module import system для активации. Такая реализация указывает на кроссплатформенный характер угрозы: она рассчитана на Linux, macOS и Windows.

Для повышения скрытности malware также:

• предотвращает повторное выполнение с помощью lock file;
• подавляет вывод;
• использует несколько уровней obfuscation, чтобы усложнить анализ.

Как работает вредоносная нагрузка

Основой вредоносного ПО является payload _runtime.bin, рассчитанный на работу в среде выполнения Bun. Именно этот компонент отвечает за ключевые этапы атаки и встроен в архитектуру, созданную для уклонения от анализа.

Вредоносное ПО устанавливает новый канал C2 через GitHub commits API. В этом канале оно ищет определенную marker string. Команды извлекаются с помощью regular expressions, что позволяет оператору управлять зараженными машинами, просто публикуя коммиты с нужным маркером.

Фактически это превращает обычный рабочий процесс в скрытый механизм управления вредоносной кампанией. Для внешнего наблюдателя подобные действия выглядят как стандартная разработка, а не как злоумышленная активность.

Эксфильтрация и закрепление

Основной канал вывода данных — новые GitHub repositories, созданные с использованием украденных токенов. При этом злоумышленники имитируют стиль обычного автора коммитов, чтобы снизить заметность. В качестве вторичного метода используется encrypted DNS calls.

Для закрепления в системе malware применяет файлы настроек для Claude Code и VS Code, которые повторно запускают ВПО во время сеансов работы с кодом. Это делает угрозу особенно опасной для разработчиков, постоянно взаимодействующих с IDE и инструментами AI-assisted coding.

Защита от анализа и связь с Shai-Hulud

Отчет отмечает и продвинутые техники противодействия анализу. Среди них:

• locale-based evasion;
• мониторинг новых созданных tokens;
• многоуровневая obfuscation;
• скрытая активация через привычные механизмы разработки.

Инцидент связывают с другими атаками, приписываемыми кампании Shai-Hulud, которую, как предполагается, связывают с группировкой TeamPCP/UNC6780. Высокая степень сложности атаки, а также использование Sigstore для публикации вредоносных packages с вводящими в заблуждение сигналами подлинности, указывают на тщательно спланированную операцию против software supply chain.

Почему это важно для индустрии

Этот инцидент показывает, что защита репозиториев должна включать не только контроль кода, но и строгую защиту main branches от несанкционированных изменений. В условиях, когда компрометация одного аккаунта может привести к масштабному распространению вредоносного кода, значение branch protection резко возрастает.

Отчет также подчеркивает любопытный эффект: традиционные инструменты code quality контроля могут непреднамеренно сыграть роль защитного фильтра, отклоняя код, который не соответствует установленным стандартам. Это, в свою очередь, указывает на пробелы в существующих механизмах защиты software supply chain.

Сложность скрытия, использование GitHub как канала управления и эксфильтрации, а также эксплуатация доверия к инструментам разработки делают эту кампанию особенно опасной для экосистемы open-source.

В совокупности атака на Pythagora-io/gpt-pilot демонстрирует, что современные supply chain threats все чаще опираются не на грубую силу, а на глубокое понимание рабочих процессов разработчиков, экосистемы GitHub и механизмов доверия, встроенных в инструменты повседневной разработки.

Отчет получен из сервиса CTT Report Hub. Права на отчет принадлежат его владельцу.

Ознакомиться подробнее с отчетом можно по ссылке.