Le ver Mini Shai-Hulud détourne 323 packages npm en moins de 30 minutes via un seul compte volé

Le 19 mai, le ver Mini Shai-Hulud a compromis un compte du responsable de NPM et a diffusé 639 versions malveillantes sur 323 packages en moins de 30 minutes.

Le compte compromis, « atool » (i@hust.cc), publie l’intégralité de la pile de visualisation de données @antv d’Alibaba ainsi que des bibliothèques autonomes utilisées dans les tableaux de bord cryptographiques, les frontaux DeFi et les applications fintech.

Les cibles les plus fréquentées : size-sensor avec 4,2 millions de téléchargements hebdomadaires, echarts-for-react avec 1,1 million, @antv/scale avec 2,2 millions et timeago.js avec 1,15 million.

Les projets utilisant des plages de semver comme ^3.0.6 pour echarts-for-react ont été automatiquement résolus vers la version malveillante 3.2.7 lors de la prochaine installation propre. Le responsable a fermé les avertissements de sécurité de GitHub en une heure, les enterrant dans des problèmes fermés.

Ce que la charge utile vole et comment elle persiste

Le malware collecte plus de 20 types d'informations d'identification : clés AWS via les métadonnées EC2 et ECS, jetons Google Cloud et Azure, jetons GitHub et npm, clés SSH, comptes de service Kubernetes, secrets HashiCorp Vault, clés API Stripe, chaînes de connexion à la base de données et coffres-forts de mots de passe locaux de 1Password et Bitwarden, par Socket.dev.

L'exfiltration s'effectue par deux canaux. Les informations d'identification volées sont cryptées avec AES-256-GCM et envoyées à un serveur de commande et de contrôle.

En guise de solution de repli, le ver utilise des jetons GitHub compromis pour créer des référentiels publics avec des noms sur le thème de Dune comme sardaukar-melange-742 ou fremen-sandworm-315, puis valide les données volées sous forme de fichiers. StepSecurity a signalé que plus de 2 500 référentiels GitHub contiennent déjà des indicateurs liés à la campagne.

De plus, le ver utilise le cryptage des données volées dans les traces OpenTelemetry transférées via HTTPS. Sur les machines basées sur Linux, il configure un service utilisateur systemd capable de récupérer les instructions de GitHub même après la suppression du package.

Le ver modifie les fichiers de configuration .vscode et .claude pour assurer la réactivation dans les environnements de développement.

La campagne continue de prendre de l'ampleur

C'est la troisième vague. Comme Cryptopolitan l'a rapporté en janvier, la variante originale Shai-Hulud a touché les packages npm de Trust Wallet et a causé 8,5 millions de dollars de pertes. La deuxième vague a frappé Mistral AI, TanStack, UiPath et Guardrails AI le 11 mai.

Socket a pu identifier 1 055 versions compromises au total dans 502 packages distincts via npm, PyPI et Composer.

Le groupe de menace à l'origine de la campagne, TeamPCP, a fait la promotion de ses outils sur des forums de piratage clandestins, selon les chercheurs de Datadog. Des versions Copycat ont émergé et utilisent différents serveurs de commande et de contrôle, ce qui rend l'attribution difficile.

Le PDG de SlowMist, 23pds, a déclaré que tout environnement dans lequel des versions affectées étaient installées devait être traité comme entièrement compromis.

Certaines actions recommandées incluent la révocation de tous les jetons d'accès, la rotation des informations d'identification pour AWS, GitHub, npm et les fournisseurs de cloud, la mise en œuvre d'une authentification multifacteur pour la publication de comptes et l'examen de toute activité suspecte dans les référentiels.