Shai-Hulud атакует npm: 28 пакетов крадут секреты разработчиков
Специалисты Netskope Threat Labs обнародовали результаты анализа серии из 28 вредоносных пакетов npm, связанных с группировкой Shai-Hulud. Кампания демонстрирует продуманный подход к маскировке и оперативной безопасности, а также применение нетипичной техники управления инфраструктурой через смарт-контракт Ethereum.
Хронология и география атаки
Пакеты были опубликованы несколькими волнами 4 августа 2026 года. Первая партия из 12 пакетов появилась в 10:39 UTC, вторая из 15 пакетов — в 10:41 UTC. Один дополнительный пакет из пространства имён @umacloud был загружен позже, в 13:18 UTC. Злоумышленники использовали четыре не связанных между собой корпоративных пространства имён: @servicetitan, @or-sdk, @onereach и @umacloud. Схожесть полезной нагрузки подтверждена совпадающими хешами; по состоянию на текущий момент пакет @umacloud/knowledge@1.0.74 всё ещё активен.
Механика заражения
При установке в среду разработчика вредоносный пакет загружает легитимную подписанную версию среды выполнения Bun напрямую с GitHub. Затем с её помощью запускается зашифрованный JavaScript-стиллер, после чего среда Bun удаляется, заметая следы. Такой приём усложняет обнаружение: анализ кода самого пакета не выявляет прямых вредоносных инструкций, а файлы, появляющиеся на диске, являются официальным инструментом.
Цели сбора конфиденциальных данных
Детальный разбор экземпляра @or-sdk/accounts@2.3.5 в изолированной среде показал, что стиллер нацелен на широкий спектр критичной информации:
- SSH private keys;
- Учётные данные AWS и аутентификационные токены реестра Docker;
- Секреты Jenkins и системные файлы;
- Токен GitHub CLI;
- Конфигурации AWS в 17 регионах.
Собранные данные упаковываются и отправляются на внешний сервер эксфильтрации npm-cache.com/router в зашифрованном виде.
Динамический C2 через Ethereum
Ключевой технической особенностью кампании стал способ получения адреса управляющего сервера. Вместо того чтобы жёстко прописывать домен внутри пакета, стиллер во время выполнения использует вызов eth_call к нескольким публичным провайдерам Ethereum RPC и получает актуальный адрес из смарт-контракта. Такой подход позволяет оператору динамически менять инфраструктуру без повторной публикации npm-пакетов и резко повышает уровень оперативной безопасности. Легитимный рантайм Bun дополнительно скрывает вредоносную активность.
Вероятные векторы проникновения и зона охвата
Методология атакующего предполагает многофакторный сценарий компрометации. Эксперты полагают, что размещение пакетов в корпоративных пространствах имён могло стать результатом кражи токенов организации, захвата машин разработчиков или хищения учётных записей OIDC GitHub Actions. Примечательно, что охота за учётными данными выходит далеко за пределы рабочих станций и активно охватывает среды CI/CD. Это означает высокий потенциал масштабного сбора секретов вне зависимости от места развёртывания кода.
Рекомендации по защите
Поскольку злоумышленники эксплуатируют доверенное программное обеспечение и оборачивают вредоносную логику в подписанный артефакт, классические сигнатурные методы обнаружения неэффективны. Netskope Threat Labs подчёркивают, что ключевое внимание следует уделять поведенческим индикаторам: несвойственным сетевым соединениям, подозрительному запуску посторонних сред выполнения и аномальной активности в пайплайнах CI/CD.
Отчет получен из сервиса CTT Report Hub. Права на отчет принадлежат его владельцу.
Ознакомиться подробнее с отчетом можно по ссылке.
