A GitHub-féreg 16 millió letöltéssel érintette az npm-csomagokat

• </span></p>
• <p><span style="font-weight: 400;">Főbb tanulságok: </span></p>
• <ul>
• <li><span style="font-weight: 400;">A Mini Shai-Hulud május 19-én kihasználta a GitHub Actions-t, és több mint 300 npm-csomagot fertőzött meg, amelyek heti letöltéseinek száma meghaladta a 16 milliót. </span></li>
• <li><span style="font-weight: 400;">A kártevő egy „dead-man’s switch” funkciót telepít, amely törli a fejlesztő gépét, ha a lopott npm-tokent visszavonják. </span></li>
• <li><span style="font-weight: 400;">A GitHub május 20-án reagált a problémára fokozatos közzététellel, tömeges OIDC-bevezetéssel és egy tervvel, amelynek célja a régi npm-tokenek kivezetése.</span></li>
• </ul>
• <p><span style="font-weight: 400;">

A Mini Shai-Hulud a GitHub Actions szolgáltatást használja ki, hogy elérje a heti 16 millió letöltést

A Team PCP fenyegető csoportnak tulajdonított Mini Shai-Hulud kampány nem úgy működik, mint a legtöbb ellátási lánc-támadás, mert a támadó nem a fejlesztő hitelesítő adatait lopja el és publikálja közvetlenül, hanem egy célrepozitóriumot fork-ol a GitHubon, és megnyit egy pull requestet, amely elindítja a `pull_request_target` munkafolyamatot.

Ezzel egy rosszindulatú pnpm-tárolóval megfertőzi a GitHub Actions gyorsítótárat, és ettől a ponttól kezdve a fertőzött csomagok érvényes, aláírt tanúsítványokat hordoznak, és megfelelnek az SLSA eredet-ellenőrzésén, így a szokásos biztonsági eszközök számára teljesen tisztának tűnnek.

Május 19-én a legújabb hullám az AntV adatvizualizációs ökoszisztémát érte el, amikor a támadók hozzáférést szereztek egy kompromittált karbantartói fiókhoz az @atool névterében, és 22 perces automatizált roham során több mint 300 rosszindulatú csomagverziót tettek közzé 323 csomagban.

Az érintett csomagok között van az echarts-for-react, egy Apache Echarts-hez készült React-burkolat, amelynek heti letöltései megközelítik az 1,1 milliót

. Az ebben a hullámban érintett összes csomag heti letöltéseinek összesen körülbelül 16 millióra becsülhető.

A legriasztóbb technikai részlet az, hogy mi történik, ha egy fejlesztő megpróbál beavatkozni. A kártevő egy „dead-man’s switch”-et telepít, azaz egy shell szkriptet, amely 60 másodpercenként lekérdezi a GitHub API-ját, hogy ellenőrizze, visszavonták-e az általa létrehozott npm-tokent. Ez a token a „IfYouRevokeThisTokenItWillWipeTheComputerOfTheOwner” leírást hordozza, amely, ha egy fejlesztő visszavonja, azonnal törli a fertőzött gép home könyvtárát.

A token emellett ellopja a GitHub, AWS, Azure, GCP, Kubernetes, Hashi Corp Vault hitelesítő adatait, valamint több mint 90 fejlesztői eszköz konfigurációját, mielőtt oldalirányban terjedne a csatlakoztatott felhőinfrastruktúrában.

Egy támadás, több áldozat

A kampány egyidejűleg érintette a Python Package Indexet (PyPI) is, mivel május 19-én három rosszindulatú verziója jelent meg a Microsoft hivatalos durabletask Python SDK-jának, amelyek észrevétlenül letöltöttek és futtattak egy 28 KB-os, hitelesítő adatokat ellopó hasznos terhet (amely az első futtatás után képes volt átmozogni az AWS, Azure és GCP környezetek között).

A GitHub május 20-án reagált egy bejelentéssel, amelyben három alapvető változást vázolt fel az npm-kiadásokkal kapcsolatban, nevezetesen a tömeges OIDC-bevezetést, amely segít a szervezeteknek több száz csomagot nagy léptékben átállítani a megbízható kiadásokra, az OIDC-szolgáltatók támogatásának kiterjesztését a GitHub Actions és a Gitlab határain túlra, valamint egy új, szakaszos kiadási modellt, amely a karbantartóknak felülvizsgálati időt biztosít a csomagok élesítését megelőzően, és többfaktoros hitelesítés (MFA) jóváhagyását követeli meg.

A vállalat azt is tervezi, hogy elavulttá nyilvánítja a régi klasszikus tokeneket, áttér a FIDO-alapú kétfaktoros hitelesítésre, és alapértelmezésként letiltja a tokenalapú közzétételt. A kampány korábbi, 2025 szeptemberi hullámában a GitHub több mint 500 kompromittált csomagot távolított el az npm-nyilvántartásból

A Slowmist blokklánc-biztonsági cég május 14-én korai figyelmeztetést adott ki, miután ugyanazon kampány részeként három rosszindulatú verziót jelölt meg a node-ipc-ből, egy olyan csomagból, amelyet hetente 822 000-szer töltenek le.

A jelzett csomagok bármelyikét használó fejlesztőknek azt tanácsolták, hogy azonnal ellenőrizzék a függőségi fákat, cseréljék ki az összes hitelesítő adatot anélkül, hogy előbb visszavonnák a rosszindulatú tokent, és ellenőrizzék a Snyk, a Wiz, a Socket.dev és a Step Security által közzétett kompromittáltsági mutatókat.