Mini Shai-Hulud: die Kampagne, die die Fragilität der Open Source-Versorgungskette in npm, PyPI und GitHub-Aktionen freigibt

Die Kampagne Mini Shai-Hulud, die dem Schauspieler TeamPCP zugeschrieben wird, unterstreicht erneut die Fragilität der Open Source Supply Chain: legitime Pakete in npm und PyPI, die von Projekten wie TanStack, Mistral AI, OpenSearch und Guards AI verwendet wurden, wurden geändert, um einen schädlichen Ladegerät einzuschließen, der nicht nur Anmeldeinformationen stiehlt, sondern auch versucht, als wahre Wurm im Paket-Ökosystem zu bestehen und verbreiten.

Das beunruhigendste an diesem Vorfall ist das Niveau der technischen und taktischen Raffinesse. Die Angreifer nutzten eine affuscated JavaScript-Datei ("Router _ init.js"), um Umgebungen zu formen und einen Anmelder zu starten, der in der Lage ist, Geheimnisse von Cloud-Lieferanten, Kryptomoneda-Portfolios, IA-Tools, Messaging- und CI-Systemen wie GitHub Actions zu entfernen. Darüber hinaus wurden zur Vermeidung von Unternehmensfiltern Daten auf eine auf Session Protocol (Domain filev2.getsession [.] org) basierende Infrastruktur ausgefiltert und als Backup-Plan auf GitHub-Repositories mit gestohlenen Token unter der Identität "claude @ user.noreply.github.com" hochgeladen.

Der technische Eingabevektor war eine Kette von Verpflichtungen in GitHub Aktionen: Verwendung des Triggers _ Anfrage _ Ziel, Action Cache Vergiftung und Extraktion in der Zeit der Ausführung von OIDC-Token aus dem laufenden Prozess. Dies erlaubte den Angreifern, schädliche Pakete durch die legitime Projektpipeline mit gültigen SLSA-Prüfungen, eine seltene und gefährliche Eskalation, die genau das Vertrauen angreift, das SLSA zu garantieren versucht. Weitere Informationen zur Aushärtung von GitHub Actions finden Sie in der offiziellen Dokumentation: https: / / docs.github.com / en / Aktionen / Security-guides / Security-hardening-for-github-actions und über SLSA in https: / / slsa.dev /.

Der Wurm zeigte auch die Selbstreplikationsfähigkeit: es lag Zeichen der Veröffentlichung npm mit der Flagge Bypass _ 2fa = true, aufgeführte Pakete der gleichen Betreuer und geänderte Token OIDC zu Token pro Paket, um traditionelle Authentifizierung zu vermeiden. Das Ergebnis war die Erstellung und Verbreitung von schädlichen Versionen mit SLSA Build Level 3 scheint legitim zu sein. Der Vorfall hat die CVE-2026-45321 Kennung und eine kritische CVSS Bewertung von 9.6 erhalten, die Dutzende von Paketen und Versionen beeinflusst.

Die erfassten Proben umfassen extreme Verhaltensweisen und Geofencing: Microsofts Analyse der Mistral-Probe beschreibt einen Download, der russischsprachige Umgebungen vermeidet und enthält einen destruktiven Zweig wahrscheinlich "rm -rf /" in bestimmten Ländern, während das kompromittierte guarrailsai-Paket lief Code zum Zeitpunkt der Import, dass es heruntergeladen und ausgeführt ein Remote-Gerät ohne Integritätskontrollen. Dies zeigt nicht nur den Verlust von Geheimnissen, sondern das reale Risiko irreversibler Schäden an Produktionssystemen.

Bei betroffenen oder gefährdeten Projektleitern muss die Antwort unverzüglich und vielfältig sein: alle Veröffentlichungstoken und OIDC widerrufen und drehen, die Protokolle von GitHub Actions auf der Suche nach Gabeln mit Nutzlasten, Verpflichtungen und verdächtigen Konto-Nutzungen zu prüfen (z.B. "claude @ user.noreply.github.com"), um Anmeldeinformationen mit Bypass _ 2fa zu widerrufen und die Verwendung von Pull _ Request _ Target in Workflows zu deaktivieren oder einzuschränken, die empfindliche Operationen. Es ist von entscheidender Bedeutung, die veröffentlichten Artefakte und die Lieferkette zu überprüfen: Hashes und Paketsignaturen neu aufzubauen, zu unterzeichnen und zu überprüfen, bevor sie in der Produktion akzeptiert werden.

Die Sicherheitsteams von Verbraucherorganisationen sollten Verpflichtungen aus Einheiten identifizieren und abmildern: Prüfung Übergangsmaßnahmen, blockieren kompromittierte Versionen in Managern (npm und PyPI), Scan-Entwicklungsumgebungen und CI auf der Suche nach Prozessen, die mit verdächtigen Domains wie filev2.getsession [.] org, api.masscan [.] Cloud oder git-tanstack.com verbinden, und überprüfen Sie die Entwicklermaschinen und CI-Läufer durch Persistenzen in IDEs (Extensions / Integrationen)

Es gibt größere strategische Auswirkungen: Die Kampagne zeigt, wie das Vertrauen in Baustellen manipuliert werden kann, wenn legitime Workflows und OIDC-Token ausgesetzt sind, so dass Organisationen das Prinzip von weniger Privileg für CI-Identities anwenden sollten, kurzfristige Token annehmen, bedingte Zugangsrichtlinien aktivieren und das Vertrauensmodell für externe Gabeln und Aktionscaches überprüfen. Operationelle und Verteidigungsempfehlungen finden Sie im oben erwähnten GitHub Actions Hardening Guide.

Aus rechtlicher und Governance-Perspektive sollten Manager die verantwortungsvolle Offenlegung mit Paketaufzeichnungen (npm / PyPI), GitHub und gegebenenfalls Regulierungsbehörden koordinieren. Verbraucher sollten den Projektanweisungen und Sicherheitsrepositorien folgen, um die betroffenen Versionen zu aktualisieren oder zurückzuziehen und operative Beweise vor der Reinigung gefährdeter Umgebungen aufzuzeichnen.

Kurz gesagt, dieser Vorfall ist nicht nur ein weiteres schädliches Paket: Es ist eine Warnung darüber, wie die Kombination von CI-Automatisierung, hohe Privileg Token und Vertrauen Verfahren ausgenutzt werden kann, um Malware einzuführen, die verbreitet und fortbesteht. Mitigation erfordert technische Veränderungen (Verdrehung von Anmeldeinformationen, Einschränkungen von Workflows, Überprüfung von Genehmigungen), operative (kontinuierliche Audits, Exfiltrationserkennung) und kulturelle (weniger implizites Vertrauen in Automatisierungen). Schnell zu handeln und mit Lieferanten und der Gemeinschaft zu koordinieren, ist der einzige Weg, den Umfang zu begrenzen und zukünftige ähnliche Kampagnen zu verhindern.