Un vierme de pe GitHub afectează pachetele npm cu 16 milioane de descărcări

• </span></p>
• <p><span style="font-weight: 400;">Concluzii cheie: </span></p>
• <ul>
• <li><span style="font-weight: 400;">Mini Shai-Hulud a exploatat GitHub Actions pe 19 mai, compromițând peste 300 de pachete npm cu peste 16 milioane de descărcări săptămânale. </span></li>
• <li><span style="font-weight: 400;">Malware-ul instalează un „dead-man's switch” care șterge mașina dezvoltatorului dacă tokenul npm furat este revocat. </span></li>
• <li><span style="font-weight: 400;">GitHub a răspuns pe 20 mai cu publicarea etapizată, integrarea OIDC în bloc și un plan de a renunța la tokenurile npm vechi.</span></li>
• </ul>
• <p><span style="font-weight: 400;">

Mini Shai-Hulud exploatează GitHub Actions pentru a atinge 16 milioane de descărcări săptămânale

Campania Mini Shai-Hulud, atribuită grupului de amenințări Team PCP, nu funcționează așa cum o fac majoritatea atacurilor asupra lanțului de aprovizionare deoarece, în loc să fure datele de autentificare ale unui dezvoltator și să publice direct, atacatorul creează o ramificație a unui depozit țintă pe GitHub, deschide o cerere de extragere care declanșează un flux de lucru `pull_request_target`.

Acest lucru contaminează cache-ul GitHub Actions cu un magazin pnpm rău intenționat și, din acel moment, pachetele infectate poartă certificate semnate valide și trec verificările de proveniență SLSA, făcându-le să pară complet curate pentru instrumentele standard de securitate.

Pe 19 mai, cel mai recent val a lovit ecosistemul de vizualizare a datelor AntV, pe măsură ce atacatorii au obținut acces la un cont de administrator compromis în spațiul de nume @atool și au publicat peste 300 de versiuni de pachete rău intenționate în 323 de pachete într-o rafală automatizată de 22 de minute.

Printre pachetele afectate se numără echarts-for-react, un wrapper React pentru Apache Echarts cu aproximativ 1,1 milioane de descărcări săptămânale

. Numărul total de descărcări săptămânale pentru toate pachetele afectate în acest val este estimat la aproximativ 16 milioane.

Cel mai alarmant detaliu tehnic este ceea ce se întâmplă dacă un dezvoltator încearcă să intervină. Malware-ul instalează un „dead-man's switch”, adică un script shell care interoghează API-ul GitHub la fiecare 60 de secunde pentru a verifica dacă tokenul npm pe care l-a creat a fost revocat. Acest token poartă descrierea „IfYouRevokeThisTokenItWillWipeTheComputerOfTheOwner”, care, dacă este revocat de un dezvoltator, șterge imediat directorul de bază al mașinii infectate.

Tokenul fură, de asemenea, credențiale de la GitHub, AWS, Azure, GCP, Kubernetes, Hashi Corp Vault și peste 90 de configurații de instrumente de dezvoltare înainte de a se răspândi lateral în infrastructura cloud conectată.

Un singur atac, multiple victime

Campania a lovit simultan Python Package Index (PyPI), deoarece trei versiuni rău intenționate ale SDK-ului oficial Python durabletask al Microsoft au fost publicate pe 19 mai, descărcând și executând în tăcere o sarcină utilă de 28 KB pentru furtul datelor de autentificare (capabilă să se deplaseze prin mediile AWS, Azure și GCP după execuția inițială).

GitHub a răspuns pe 20 mai cu un anunț în care a prezentat trei modificări esențiale la publicarea npm, și anume integrarea în bloc a OIDC pentru a ajuta organizațiile să migreze sute de pachete către publicarea de încredere la scară largă, extinderea suportului pentru furnizorii OIDC dincolo de GitHub Actions și Gitlab și un nou model de publicare etapizată care oferă administratorilor o fereastră de revizuire înainte ca pachetele să fie lansate, necesitând aprobarea prin autentificare multifactorială (MFA).

Compania intenționează, de asemenea, să renunțe la token-urile clasice vechi, să migreze utilizatorii către 2FA bazat pe FIDO și să interzică publicarea bazată pe token-uri în mod implicit. În prima etapă a campaniei, din septembrie 2025, GitHub a eliminat peste 500 de pachete compromise din registrul npm

Firma de securitate blockchain Slowmist a emis o avertizare timpurie pe 14 mai, după ce a semnalat trei versiuni rău intenționate ale node-ipc, un pachet cu 822.000 de descărcări săptămânale, ca parte a aceleiași campanii.

Dezvoltatorilor care utilizează oricare dintre pachetele semnalate li s-a recomandat să verifice imediat arborii de dependențe, să rotească toate datele de autentificare fără a revoca mai întâi tokenul rău intenționat și să verifice indicatorii de compromis publicați de Snyk, Wiz, Socket.dev și Step Security.