Červ na GitHubu zasiahol balíčky npm s 16 miliónmi stiahnutí

• </span></p>
• <p><span style="font-weight: 400;">Kľúčové body: </span></p>
• <ul>
• <li><span style="font-weight: 400;">Mini Shai-Hulud zneužil GitHub Actions 19. mája a ohrozil viac ako 300 balíkov npm s 16 miliónmi stiahnutí týždenne. </span></li>
• <li><span style="font-weight: 400;">Tento škodlivý softvér inštaluje bezpečnostný mechanizmus, ktorý vymaže počítač vývojára, ak je odcudzený token npm zrušený. </span></li>
• <li><span style="font-weight: 400;">GitHub reagoval 20. mája zavedením postupného zverejňovania, hromadným pripájaním OIDC a plánom na vyradenie starých npm tokenov.</span></li>
• </ul>
• <p><span style="font-weight: 400;">

Mini Shai-Hulud zneužíva GitHub Actions a dosahuje 16 miliónov týždenných stiahnutí

Kampaň Mini Shai-Hulud, pripisovaná skupine Team PCP, nefunguje tak, ako väčšina útokov na dodávateľský reťazec, pretože namiesto krádeže prihlasovacích údajov vývojára a priameho zverejnenia útočník vytvorí fork cieľového repozitára na GitHub, otvorí pull request, ktorý spustí workflow `pull_request_target`.

Tým sa cache GitHub Actions infikuje škodlivým úložiskom pnpm a od tohto momentu majú infikované balíky platné podpísané certifikáty a prechádzajú kontrolami pôvodu SLSA, vďaka čomu sa štandardným bezpečnostným nástrojom javia ako úplne čisté.

19. mája zasiahla najnovšia vlna ekosystém vizualizácie dát AntV, keď útočníci získali prístup k kompromitovanému účtu správcu v mennom priestore @atool a v priebehu 22-minútového automatizovaného výpadu publikovali viac ako 300 škodlivých verzií balíkov v 323 balíkoch.

Medzi postihnutými balíkmi je aj echarts-for-react, wrapper React pre Apache Echarts s približne 1,1 milióna stiahnutí týždenne

. Celkový počet stiahnutí všetkých postihnutých balíkov v tejto vlne sa odhaduje na približne 16 miliónov.

Najviac alarmujúcim technickým detailom je to, čo sa stane, ak sa vývojár pokúsi zasiahnuť. Malvér nainštaluje „dead-man's switch“, t. j. shell skript, ktorý každých 60 sekúnd kontroluje API GitHubu, či nebol zrušený npm token, ktorý vytvoril. Tento token nesie popis „IfYouRevokeThisTokenItWillWipeTheComputerOfTheOwner“, ktorý v prípade zrušenia vývojárom okamžite vymaže domovský adresár infikovaného počítača.

Token tiež kradne prihlasovacie údaje z GitHubu, AWS, Azure, GCP, Kubernetes, Hashi Corp Vault a viac ako 90 konfigurácií vývojárskych nástrojov, než sa rozšíri laterálne cez pripojenú cloudovú infraštruktúru.

Jeden útok, viacero obetí

Kampaň súčasne zasiahla Python Package Index (PyPI), keďže 19. mája boli zverejnené tri škodlivé verzie oficiálneho Python SDK durabletask od spoločnosti Microsoft, ktoré ticho stiahli a spustili 28 KB payload na krádež prihlasovacích údajov (schopný presúvať sa cez prostredia AWS, Azure a GCP po počiatočnom spustení).

GitHub reagoval 20. mája oznámením, v ktorom načrtol tri kľúčové zmeny v publikovaní npm, a to hromadné zapojenie OIDC, ktoré má pomôcť organizáciám migrovať stovky balíkov do dôveryhodného publikovania vo veľkom meradle, rozšírenú podporu poskytovateľov OIDC nad rámec GitHub Actions a Gitlab a nový model postupného publikovania, ktorý poskytuje správcom čas na kontrolu pred spustením balíkov do prevádzky a vyžaduje schválenie prostredníctvom viacfaktorovej autentifikácie (MFA).

Spoločnosť tiež plánuje vyradiť staršie klasické tokeny, migrovať používateľov na 2FA založenú na FIDO a štandardne zakázať publikovanie založené na tokenoch. V predchádzajúcej vlne kampane v septembri 2025 GitHub odstránil z registra npm viac ako 500 kompromitovaných balíkov

Bezpečnostná firma zameraná na blockchain Slowmist vydala 14. mája včasné varovanie po tom, čo v rámci tej istej kampane označila tri škodlivé verzie balíka node-ipc, ktorý má 822 000 stiahnutí týždenne.

Vývojárom, ktorí používajú niektorý z označených balíkov, bolo odporúčané okamžite skontrolovať stromy závislostí, obmeniť všetky prihlasovacie údaje bez toho, aby najskôr zrušili škodlivý token, a skontrolovať indikátory kompromitácie uverejnené spoločnosťami Snyk, Wiz, Socket.dev a Step Security.