O worm Mini Shai-Hulud sequestra 323 pacotes npm em menos de 30 minutos através de uma única conta roubada

Em 19 de maio, o worm Mini Shai-Hulud comprometeu uma conta de mantenedor do npm e distribuiu 639 versões maliciosas em 323 pacotes em menos de 30 minutos.

A conta comprometida, “atool” (i@hust.cc), publica toda a pilha de visualização de dados @antv da Alibaba, juntamente com bibliotecas independentes usadas em painéis de criptomoedas, interfaces DeFi e aplicativos fintech.

Os sites com maior tráfego são: size-sensor, com 4,2 milhões de downloads semanais; echarts-for-react, com 1,1 milhão; @antv/scale, com 2,2 milhões; e timeago.js, com 1,15 milhão.

Projetos que usam intervalos de versionamento semântico como ^3.0.6 para echarts-for-react foram automaticamente resolvidos para a versão maliciosa 3.2.7 na próxima instalação limpa. O mantenedor fechou os avisos de segurança do GitHub em menos de uma hora, ocultando-os em issues já fechadas.

O que a carga rouba e como ela persiste

De acordo com o Socket.dev, o malware coleta mais de 20 tipos dedent: chaves da AWS por meio de metadados do EC2 e ECS, tokens do Google Cloud e Azure, tokens do GitHub e npm, chaves SSH, contas de serviço do Kubernetes, segredos do HashiCorp Vault, chaves da API do Stripe, strings de conexão de banco de dados e cofres de senhas locais do 1Password e Bitwarden.

A exfiltração ocorre por meio de dois canais. Asdentroubadas são criptografadas com AES-256-GCM e enviadas para um servidor de comando e controle.

Como medida de segurança, o worm usa tokens comprometidos do GitHub para criar repositórios públicos com nomes relacionados a Duna, como sardaukar-melange-742 ou fremen-sandworm-315, e então envia os dados roubados como arquivos. A StepSecurity relatou que mais de 2.500 repositórios do GitHub já contêm indicadores ligados à campanha.

Além disso, o worm usa criptografia nos dados roubados em tracOpenTelemetry transferidos via HTTPS. Em máquinas baseadas em Linux, ele configura um serviço de usuário do systemd capaz de buscar instruções do GitHub mesmo após a remoção do pacote.

O worm modifica os arquivos de configuração .vscode e .claude para garantir a reativação em ambientes de desenvolvimento.

A campanha continua crescendo

Esta é a terceira onda. Como Cryptopolitan relatado em janeiro, a variante original do Shai-Hulud atingiu os pacotes npm da Trust Wallet e causou perdas de US$ 8,5 milhões. A segunda onda atingiu a Mistral AI, a TanStack, a UiPath e a Guardrails AI em 11 de maio.

A Socket conseguiudentum total de 1.055 versões comprometidas em 502 pacotes distintos através do npm, PyPI e Composer.

Segundo pesquisadores da Datadog, o grupo de ameaças por trás da campanha, TeamPCP, promoveu suas ferramentas em fóruns clandestinos de hackers. Versões imitadoras surgiram, utilizando servidores de comando e controle diferentes, o que dificulta a atribuição da autoria.

O CEO da SlowMist, 23pds, afirmou que qualquer ambiente que tenha instalado versões afetadas deve ser tratado como totalmente comprometido.

Algumas ações recomendadas incluem revogar todos os tokens de acesso, rotacionar asdentda AWS, GitHub, npm e provedores de nuvem, implementar autenticação multifator para publicação de contas e revisar qualquer atividade suspeita nos repositórios.

Não se limite a ler notícias sobre criptomoedas. Compreenda-as. Assine nossa newsletter. É grátis.