GitHub-worm treft npm-pakketten met 16 miljoen downloads

• </span></p>
• <p><span style="font-weight: 400;">Belangrijkste punten: </span></p>
• <ul>
• <li><span style="font-weight: 400;">Mini Shai-Hulud maakte op 19 mei misbruik van GitHub Actions en bracht meer dan 300 npm-pakketten in gevaar, goed voor 16 miljoen wekelijkse downloads. </span></li>
• <li><span style="font-weight: 400;">De malware installeert een 'dead-man's switch' die de computer van de ontwikkelaar wist als het gestolen npm-token wordt ingetrokken. </span></li>
• <li><span style="font-weight: 400;">GitHub reageerde op 20 mei met gefaseerde publicatie, bulk OIDC-onboarding en een plan om verouderde npm-tokens af te schaffen.</span></li>
• </ul>
• <p><span style="font-weight: 400;">

Mini Shai-Hulud maakt misbruik van GitHub Actions en bereikt 16 miljoen wekelijkse downloads

De Mini Shai-Hulud-campagne, toegeschreven aan de dreigingsgroep Team PCP, werkt niet zoals de meeste supply chain-aanvallen, omdat de aanvaller, in plaats van de inloggegevens van een ontwikkelaar te stelen en direct te publiceren, een doelrepository op GitHub forkt en een pull-verzoek opent dat een `pull_request_target`-workflow activeert.

Dit besmet de cache van GitHub Actions met een kwaadaardige pnpm-store, en vanaf dat moment bevatten de geïnfecteerde pakketten geldige, ondertekende certificaten en doorstaan ze SLSA-herkomstcontroles, waardoor ze er voor standaard beveiligingstools volledig schoon uitzien.

Op 19 mei trof de laatste golf het AntV-ecosysteem voor datavisualisatie, toen aanvallers toegang kregen tot een gecompromitteerd beheerdersaccount in de @atool-naamruimte en in een geautomatiseerde uitbarsting van 22 minuten meer dan 300 kwaadaardige pakketversies publiceerden, verspreid over 323 pakketten.

Een van de getroffen pakketten is echarts-for-react, een React-wrapper voor Apache Echarts met ongeveer 1,1 miljoen wekelijkse downloads

. Het totale aantal wekelijkse downloads van alle getroffen pakketten in deze golf wordt geschat op ongeveer 16 miljoen.

Het meest alarmerende technische detail is wat er gebeurt als een ontwikkelaar probeert in te grijpen. De malware installeert een 'dead-man's switch', d.w.z. een shellscript dat elke 60 seconden de API van GitHub pollt om te controleren of het door hem aangemaakte npm-token is ingetrokken. Dat token draagt de beschrijving "IfYouRevokeThisTokenItWillWipeTheComputerOfTheOwner", wat, indien ingetrokken door een ontwikkelaar, onmiddellijk de homedirectory van de geïnfecteerde machine wist.

Het token steelt ook inloggegevens van GitHub, AWS, Azure, GCP, Kubernetes, Hashi Corp Vault en meer dan 90 configuraties van ontwikkelaarstools, voordat het zich lateraal verspreidt over de aangesloten cloudinfrastructuur.

Eén aanval, meerdere slachtoffers

De campagne trof tegelijkertijd de Python Package Index (PyPI) toen op 19 mei drie kwaadaardige versies van Microsofts officiële durabletask Python SDK werden gepubliceerd, die stilzwijgend een 28 KB grote payload voor het stelen van inloggegevens downloadden en uitvoerden (die na de eerste uitvoering in staat was zich te verplaatsen over AWS-, Azure- en GCP-omgevingen).

GitHub reageerde op 20 mei met een aankondiging waarin drie belangrijke wijzigingen in de npm-publicatie werden uiteengezet, namelijk bulk-OIDC-onboarding om organisaties te helpen bij het op grote schaal migreren van honderden pakketten naar vertrouwde publicatie, uitgebreide ondersteuning voor OIDC-providers buiten GitHub Actions en Gitlab, en een nieuw gefaseerd publicatiemodel dat beheerders een beoordelingsperiode geeft voordat pakketten live gaan, waarbij goedkeuring via multi-factor authenticatie (MFA) vereist is.

Het bedrijf is ook van plan om verouderde klassieke tokens af te schaffen, gebruikers te migreren naar op FIDO gebaseerde 2FA en token-gebaseerde publicatie standaard uit te schakelen. In de eerdere fase van de campagne in september 2025 verwijderde GitHub meer dan 500 gecompromitteerde pakketten uit het npm-register

Blockchain-beveiligingsbedrijf Slowmist had op 14 mei een vroege waarschuwing afgegeven nadat het drie kwaadaardige versies van node-ipc, een pakket met 822.000 wekelijkse downloads, had gesignaleerd als onderdeel van dezelfde campagne.

Ontwikkelaars die een van de gesignaleerde pakketten gebruiken, is geadviseerd om onmiddellijk de afhankelijkheidsstructuren te controleren, alle inloggegevens te vernieuwen zonder eerst het kwaadaardige token in te trekken, en te kijken naar indicatoren van compromittering die zijn gepubliceerd door Snyk, Wiz, Socket.dev en Step Security.