Varios proveedores de seguridad advierten sobre una segunda ola de ataques dirigidos al registro npm de una manera que recuerda al ataque Shai-Hulud.
Aikido, HelixGuard, Koi Security, Socket y Wiz informan que esta nueva campaña de la cadena de suministro, llamada Sha1-Hulud, comprometió cientos de paquetes npm.
Los investigadores de Wiz, Hila Ramati, Merav Bar, Gal Benmocha y Gili Tikochinski, dijeron: «Esta campaña introduce una nueva variante que ejecuta código malicioso durante la etapa de preinstalación, lo que aumenta significativamente el potencial de compromiso en los entornos de compilación y ejecución».
De manera similar al ataque Shai-Hulud revelado en septiembre de 2025, la última campaña también publicó secretos robados en GitHub, esta vez con la descripción del repositorio «Sha1-Hulud: The Second Coming».
Las oleadas anteriores se caracterizaron por comprometer paquetes legítimos y enviar código malicioso diseñado para utilizar el escáner de credenciales de TruffleHog para buscar secretos en las máquinas de los desarrolladores y enviarlos a servidores externos bajo el control del atacante.
Las variantes infectadas también tienen la capacidad de propagarse de forma autorreplicante al volver a publicarse en otros paquetes npm propiedad del administrador comprometido.
En la última ronda de ataques, se descubrió que los atacantes estaban agregando un script de preinstalación (‘setup_bun.js’) en el archivo package.json. Este script está configurado para instalar o buscar de forma encubierta el tiempo de ejecución de Bun y ejecutar un script malicioso incluido (‘bun_environment.js’).
La carga útil maliciosa realiza la siguiente secuencia de acciones a través de dos flujos de trabajo diferentes:
Registra la máquina infectada como un ejecutor autohospedado llamado ‘SHA1HULUD’ y agrega un flujo de trabajo llamado .github/workflows/Discussion.yaml. Este flujo de trabajo contiene una vulnerabilidad de inyección, que se ejecuta específicamente en un ejecutor autohospedado. Esto permite a un atacante ejecutar comandos arbitrarios en una máquina infectada abriendo una discusión en un repositorio de GitHub.
Extraiga el secreto definido en la sección de secretos de GitHub y cárguelo como un artefacto. Luego se descarga y el flujo de trabajo se elimina para ocultar la actividad.
«Cuando se ejecuta, el malware descarga y ejecuta TruffleHog, escanea la máquina local y roba información confidencial como tokens NPM, credenciales de AWS/GCP/Azure y variables de entorno», dijo Helixuard.
Wiz dice que ha descubierto más de 25.000 repositorios afectados en aproximadamente 350 usuarios únicos, y que se han agregado continuamente 1.000 nuevos repositorios cada 30 minutos durante las últimas horas.
«Esta campaña continúa la tendencia de compromisos en la cadena de suministro del NPM que hacen referencia a los nombres y el oficio comercial de Shai Huld, pero puede involucrar a diferentes actores», dijo With. «Esta amenaza aprovecha una cuenta de mantenedor comprometida para publicar una versión troyanizada de un paquete npm legítimo que ejecuta el robo de credenciales y filtra código durante la instalación».
Koi Security dijo que la segunda ola es más agresiva y agregó que si la autenticación o la persistencia fallan, el malware intenta destruir todo el directorio de inicio de la víctima. Esto incluye todos los archivos grabables propiedad del usuario actual en su carpeta de inicio. Sin embargo, esta característica similar a un limpiador solo se activa cuando se cumplen las siguientes condiciones:
No se puede autenticar en GitHub No se puede crear el repositorio de GitHub No se puede recuperar el token de GitHub Falta el token npm
«En otras palabras, si Sha1-Hulud no puede robar credenciales, obtener tokens o asegurar una ruta de exfiltración, la destrucción catastrófica de datos será la opción predeterminada», dijeron los investigadores de seguridad Yuval Ronen e Idan Durdikman. «Esto marca una escalada significativa con respecto a la primera ola, en la que las tácticas de los atacantes pasaron del puro robo de datos al sabotaje punitivo».
Para mitigar el riesgo que representa esta amenaza, se insta a las organizaciones a escanear todos los puntos finales en busca de la presencia de paquetes afectados, eliminar inmediatamente las versiones comprometidas, rotar todas las credenciales y auditar los repositorios del mecanismo de persistencia revisando .github/workflows/ en busca de archivos sospechosos como shai-hulud-workflow.yml o ramas inesperadas.
(Esta es una historia en desarrollo y se actualizará a medida que haya nuevos detalles disponibles).
Source link
