GitHub-mato iskee npm-paketteihin, joita on ladattu 16 miljoonaa kertaa

• </span></p>
• <p><span style="font-weight: 400;">Tärkeimmät kohdat: </span></p>
• <ul>
• <li><span style="font-weight: 400;">Mini Shai-Hulud hyödynsi GitHub Actionsia 19. toukokuuta ja vaaransi yli 300 npm-pakettia, joiden viikoittainen latausmäärä oli 16 miljoonaa. </span></li>
• <li><span style="font-weight: 400;">Haittaohjelma asentaa dead-man's switch -toiminnon, joka tyhjentää kehittäjän koneen, jos varastettu npm-tunnus peruutetaan. </span></li>
• <li><span style="font-weight: 400;">GitHub vastasi 20. toukokuuta vaiheittaisella julkaisemisella, OIDC:n joukkokäyttöönotolla ja suunnitelmalla poistaa vanhat npm-tunnukset käytöstä.</span></li>
• </ul>
• <p><span style="font-weight: 400;">

Mini Shai-Hulud hyödyntää GitHub Actionsia ja saavuttaa 16 miljoonaa viikoittaista latausta

Mini Shai-Hulud -kampanja, jonka takana on uhka-ryhmä Team PCP, ei toimi samalla tavalla kuin useimmat toimitusketjuhyökkäykset, sillä sen sijaan, että hyökkääjä varastaisi kehittäjän tunnistetiedot ja julkaisi ne suoraan, hän luo haaran kohde-repositoriosta GitHubissa ja avaa pull-pyynnön, joka laukaisee `pull_request_target`-työnkulun.

Tämä saastuttaa GitHub Actions -välimuistin haitallisella pnpm-tallennustilalla, ja siitä lähtien tartunnan saaneet paketit sisältävät voimassa olevia allekirjoitettuja varmenteita ja läpäisevät SLSA-alkuperätarkistukset, minkä vuoksi ne näyttävät täysin puhtailta tavallisille tietoturvatyökaluille.

19. toukokuuta uusin aalto iski AntV-tietovisualisointiekosysteemiin, kun hyökkääjät saivat pääsyn vaarantuneeseen ylläpitäjätiliin @atool-nimitilassa ja julkaisivat yli 300 haitallista pakettiversiota 323 paketissa 22 minuutin automatisoidussa hyökkäyksessä.

Vaikuttuneiden pakettien joukossa on echarts-for-react, Apache Echartsin React-kääre, jolla on noin 1,1 miljoonaa viikoittaista latausta

. Tämän aallon kaikkien vaikuttuneiden pakettien yhteenlaskettu viikoittainen latausmäärä on arviolta noin 16 miljoonaa.

Teknisesti huolestuttavin yksityiskohta on se, mitä tapahtuu, jos kehittäjä yrittää puuttua asiaan. Haittaohjelma asentaa dead-man's switch -toiminnon, eli shell-skriptin, joka kyselee GitHubin API:ta 60 sekunnin välein tarkistaakseen, onko sen luoma npm-tunnus peruutettu. Tunnuksessa on kuvaus "IfYouRevokeThisTokenItWillWipeTheComputerOfTheOwner", joka, jos kehittäjä peruuttaa sen, tyhjentää välittömästi tartunnan saaneen koneen kotihakemiston.

Tunnus varastaa myös tunnistetiedot GitHubista, AWS:stä, Azuresta, GCP:stä, Kubernetesista, Hashi Corp Vaultista ja yli 90 kehittäjätyökalun konfiguraatiosta ennen kuin se leviää sivusuunnassa yhdistettyyn pilvi-infrastruktuuriin.

Yksi hyökkäys, useita uhreja

Kampanja iski samanaikaisesti Python Package Indexiin (PyPI), kun kolme haitallista versiota Microsoftin virallisesta durabletask Python SDK:sta julkaistiin 19. toukokuuta. Ne latasivat ja suorittivat hiljaisesti 28 kt:n suuruisen tunnistetietoja varastavan hyötykuorman (joka pystyi liikkumaan AWS-, Azure- ja GCP-ympäristöissä ensimmäisen suorituksen jälkeen).

GitHub vastasi 20. toukokuuta ilmoituksella, jossa esiteltiin kolme keskeistä muutosta npm-julkaisuun: nimittäin OIDC:n joukkokäyttöönotto, joka auttaa organisaatioita siirtämään satoja paketteja luotettavaan julkaisuun laajamittaisesti, OIDC-palveluntarjoajien tuen laajentaminen GitHub Actionsin ja Gitlabin ulkopuolelle sekä uusi vaiheittainen julkaisumalli, joka antaa ylläpitäjille tarkastusajan ennen pakettien julkaisua ja vaatii monivaiheisen todennuksen (MFA) hyväksynnän.

Yritys aikoo myös poistaa käytöstä vanhat klassiset tunnukset, siirtää käyttäjät FIDO-pohjaiseen kaksivaiheiseen todennukseen ja kieltää oletuksena tunnusperusteisen julkaisemisen. Kampanjan aikaisemmassa vaiheessa syyskuussa 2025 GitHub poisti yli 500 vaarantunutta pakettia npm-rekisteristä

Blockchain-turvallisuusyritys Slowmist antoi varhaisen varoituksen 14. toukokuuta, kun se oli havainnut kolme haitallista versiota node-ipc-paketista, jota ladataan viikoittain 822 000 kertaa, osana samaa kampanjaa.

Käyttäjille, jotka käyttävät jotakin merkityistä paketeista, on suositeltu tarkistamaan riippuvuussuhteet välittömästi, vaihtamaan kaikki tunnistetiedot peruuttamatta ensin haitallista tunnusta ja tarkistamaan Snykin, Wizin, Socket.devin ja Step Securityn julkaisemat vaarantumisen merkit.