Črv na GitHubu napadel pakete npm z 16 milijoni prenosov

• </span></p>
• <p><span style="font-weight: 400;">Ključne ugotovitve: </span></p>
• <ul>
• <li><span style="font-weight: 400;">Mini Shai-Hulud je 19. maja izkoristil GitHub Actions in ogrozil več kot 300 npm paketov s 16 milijoni tedenskih prenosov. </span></li>
• <li><span style="font-weight: 400;">Zlonamerna programska oprema namesti stikalo »dead-man's switch«, ki izbriše računalnik razvijalca, če je ukraden npm-token preklican. </span></li>
• <li><span style="font-weight: 400;">GitHub se je 20. maja odzval s postopnim objavljanjem, množičnim vključevanjem OIDC in načrtom za opustitev zastarelih npm-tokenov.</span></li>
• </ul>
• <p><span style="font-weight: 400;">

Mini Shai-Hulud izkorišča GitHub Actions za doseganje 16 milijonov tedenskih prenosov

Kampanja Mini Shai-Hulud, ki se pripisuje grožnji skupini Team PCP, ne deluje tako, kot večina napadov na dobavno verigo, saj namesto da bi napadalec ukradel poverilnice razvijalca in jih neposredno objavil, naredi razcep ciljnega repozitorija na GitHubu ter odpre zahtevo za poteg, ki sproži delovni tok `pull_request_target`.

To okuži predpomnilnik GitHub Actions z zlonamernim pnpm-skladiščem, od tega trenutka naprej pa okuženi paketi nosijo veljavne podpisane certifikate in uspešno prestanejo preverjanje porekla SLSA, zaradi česar se standardnim varnostnim orodjem zdijo popolnoma čisti.

19. maja je najnovejši val prizadel ekosistem vizualizacije podatkov AntV, ko so napadalci pridobili dostop do ogroženega računa vzdrževalca v imenskem prostoru @atool in v 22-minutnem avtomatiziranem izbruhu objavili več kot 300 zlonamernih različic paketov v 323 paketih.

Med prizadetimi paketi je tudi echarts-for-react, React-ov ovitek za Apache Echarts z okoli 1,1 milijona tedenskih prenosov

. Skupno število tedenskih prenosov vseh prizadetih paketov v tej vali je ocenjeno na okoli 16 milijonov.

Najbolj zaskrbljujoča tehnična podrobnost je, kaj se zgodi, če poskuša posredovati razvijalec. Zlonamerna programska oprema namesti stikalo »dead-man's switch«, tj. skript, ki vsake 60 sekund preverja API GitHuba, da bi ugotovil, ali je bil npm-token, ki ga je ustvaril, preklican. Ta žeton nosi opis »IfYouRevokeThisTokenItWillWipeTheComputerOfTheOwner«, ki, če ga razvijalec prekliče, takoj izbriše domači imenik okuženega računalnika.

Žeton prav tako ukrade poverilnice iz GitHuba, AWS, Azure, GCP, Kubernetesa, Hashi Corp Vault in več kot 90 konfiguracij razvojnih orodij, preden se lateralno razširi po povezani oblačni infrastrukturi.

En napad, več žrtev

Kampanja je hkrati prizadela Python Package Index (PyPI), saj so bile 19. maja objavljene tri zlonamerne različice uradnega Python SDK-ja durabletask podjetja Microsoft, ki so tiho prenesle in izvedle 28 KB veliko tovorno datoteko za krajo poverilnic (ki se je po začetni izvedbi lahko premikala po okoljih AWS, Azure in GCP).

GitHub je 20. maja odgovoril z objavo, v kateri je opisal tri ključne spremembe pri objavljanju v npm, in sicer množično vključevanje OIDC, ki organizacijam pomaga pri migraciji več sto paketov v zaupanja vredno objavljanje v velikem obsegu, razširjeno podporo ponudnikom OIDC prek GitHub Actions in Gitlab ter nov model postopnega objavljanja, ki vzdrževalcem omogoča pregled pred objavo paketov, pri čemer je potrebna odobritev z večfaktorskim preverjanjem pristnosti (MFA).

Podjetje prav tako načrtuje opustitev zastarelih klasičnih žetonov, migracijo uporabnikov na 2FA na podlagi FIDO ter privzeto onemogočanje objavljanja na podlagi žetonov. V zgodnejši fazi kampanje septembra 2025 je GitHub iz registra npm odstranil več kot 500 ogroženih paketov

Podjetje za varnost blockchaina Slowmist je 14. maja izdalo zgodnje opozorilo, potem ko je v okviru iste kampanje označilo tri zlonamerne različice node-ipc, paketa z 822.000 tedenskimi prenosi.

Razvijalcem, ki uporabljajo kateri koli od označenih paketov, je bilo svetovano, naj nemudoma pregledajo drevesa odvisnosti, zamenjajo vse poverilnice, ne da bi najprej preklicali zlonameren token, ter preverijo kazalnike ogroženosti, ki so jih objavili Snyk, Wiz, Socket.dev in Step Security.