GitHubi viirus tabas npm-pakette, mida on alla laaditud 16 miljonit korda

• </span></p>
• <p><span style="font-weight: 400;">Peamised järeldused: </span></p>
• <ul>
• <li><span style="font-weight: 400;">Mini Shai-Hulud kasutas 19. mail ära GitHub Actionsi, ohustades üle 300 npm-paketti, mida laaditi alla üle 16 miljoni korra nädalas. </span></li>
• <li><span style="font-weight: 400;">Pahavara installib surma-lüliti, mis kustutab arendaja arvuti, kui varastatud npm-token tühistatakse. </span></li>
• <li><span style="font-weight: 400;">GitHub reageeris 20. mail järkjärgulise avaldamise, OIDC massilise kasutuselevõtu ja vanade npm-tokenite kasutuselt kõrvaldamise plaaniga.</span></li>
• </ul>
• <p><span style="font-weight: 400;">

Mini Shai-Hulud kasutab ära GitHub Actionsi, et saavutada 16 miljonit nädalast allalaadimist

Mini Shai-Huludi kampaania, mida seostatakse ähvardusrühmaga Team PCP, ei toimi nii, nagu enamik tarneahela rünnakuid, sest selle asemel, et varastada arendaja autentimisandmeid ja avaldada neid otse, teeb ründaja GitHubis sihtrepositooriumist haru, avab pull-taotluse, mis käivitab `pull_request_target` töövoo.

See saastab GitHub Actionsi vahemälu pahatahtliku pnpm-poega ning sellest hetkest alates kannavad nakatunud paketid kehtivaid allkirjastatud sertifikaate ja läbivad SLSA päritolu kontrollid, mistõttu tunduvad need standardse turvatarkvara jaoks täiesti puhtad.

19. mail tabas viimane laine AntV andmevisualiseerimise ökosüsteemi, kui ründajad said juurdepääsu ohustatud haldaja kontole @atool nimeruumis ja avaldasid 22-minutilise automatiseeritud rünnaku käigus üle 300 pahatahtliku paketi versiooni 323 paketi ulatuses.

Mõjutatud pakettide hulgas on echarts-for-react, Apache Echarts'i React-ümbris, millel on ligikaudu 1,1 miljonit allalaadimist nädalas

. Kõigi selle laine mõjutatud pakettide nädalane allalaadimiste koguarv on hinnanguliselt umbes 16 miljonit.

Kõige murettekitavam tehniline detail on see, mis juhtub, kui arendaja üritab sekkuda. Pahavara installib nn surnud mehe lüliti, st shell-skripti, mis küsib iga 60 sekundi järel GitHubi API-lt, kas loodud npm-token on tühistatud. Sellel tokenil on kirjeldus „IfYouRevokeThisTokenItWillWipeTheComputerOfTheOwner”, mis arendaja poolt tühistamisel kustutab nakatunud masina kodukataloogi kohe.

Token varastab ka GitHubi, AWS-i, Azure'i, GCP-i, Kubernetesi, Hashi Corp Vaulti ja üle 90 arendaja tööriista konfiguratsiooni autentimisandmed, enne kui levib horisontaalselt ühendatud pilveinfrastruktuuris.

Üks rünnak, mitu ohvrit

Kampaania tabas samaaegselt Python Package Indexit (PyPI), kui 19. mail avaldati kolm pahatahtlikku versiooni Microsofti ametlikust durabletask Python SDK-st, mis laadisid vaikselt alla ja käivitasid 28 KB suuruse kasutajatunnuste varastava koorma (mis suutis pärast esialgset käivitamist liikuda AWS-, Azure- ja GCP-keskkondades).

GitHub reageeris 20. mail teadaandega, milles kirjeldati kolme põhilist muudatust npm-i avaldamises, nimelt OIDC-i massiline kasutuselevõtt, et aidata organisatsioonidel migreerida sadu pakette usaldusväärsesse avaldamisse suurel skaalal, OIDC-pakkuja toetuse laiendamine väljapoole GitHub Actionsit ja Gitlabit ning uus etapiviisiline avaldamismudel, mis annab hooldajatele läbivaatamisaja enne pakettide avaldamist, nõudes mitmefaktorilise autentimise (MFA) heakskiitu.

Ettevõte kavatseb ka vanad klassikalised tokenid kasutusest kõrvaldada, kasutajad FIDO-põhisele 2FA-le üle viia ja vaikimisi tokenipõhise avaldamise keelata. Kampaania varasemas etapis 2025. aasta septembris eemaldas GitHub npm-registrist üle 500 ohustatud paketi

Blockchaini turvalisusfirma Slowmist andis 14. mail välja varajase hoiatuse, olles märkinud sama kampaania raames kolm pahatahtlikku versiooni node-ipc-st, paketist, mida laaditakse alla 822 000 korda nädalas.

Arendajatele, kes kasutavad mõnda märgistatud paketist, on soovitatud viivitamatult auditeerida sõltuvuste puud, vahetada kõik volitused ilma pahatahtlikku tokenit esmalt tühistamata ning kontrollida Snyk, Wiz, Socket.dev ja Step Security poolt avaldatud ohuindikaatoreid.