De tweede golf van de Shai-Hulud supply chain-aanval is overgeslagen naar het Maven-ecosysteem nadat meer dan 830 pakketten in het npm-register in gevaar waren gebracht.
Het Socket Research Team zei dat het een Maven Central-pakket heeft geïdentificeerd met de naam org.mvnpm:posthog-node:4.18.1 dat dezelfde twee componenten insluit die geassocieerd zijn met Sha1-Hulud: de “setup_bun.js” loader en de belangrijkste payload “bun_environment.js.”
“Dit betekent dat het PostHog-project releases in zowel het JavaScript/npm- als het Java/Maven-ecosysteem heeft gecompromitteerd, aangedreven door dezelfde Shai Hulud v2-payload”, zei het cyberbeveiligingsbedrijf in een update van dinsdag.
Het is vermeldenswaard dat het Maven Central-pakket niet door PostHog zelf wordt gepubliceerd. In plaats daarvan worden de “org.mvnpm”-coördinaten gegenereerd via een geautomatiseerd mvnpm-proces dat npm-pakketten opnieuw opbouwt als Maven-artefacten. De Maven Central zei dat ze werken aan het implementeren van extra beveiligingen om te voorkomen dat reeds bekende gecompromitteerde npm-componenten opnieuw worden gebundeld. Vanaf 25 november 2025, 22:44 UTC, zijn alle gespiegelde kopieën verwijderd.
De ontwikkeling komt op het moment dat de ‘tweede komst’ van het supply chain-incident zich richt op ontwikkelaars over de hele wereld met als doel gevoelige gegevens zoals API-sleutels, cloudreferenties en npm- en GitHub-tokens te stelen, en op een wormachtige manier diepere compromissen in de supply chain te vergemakkelijken. De nieuwste versie is ook geëvolueerd om heimelijker, agressiever, schaalbaarder en destructiever te zijn.
Naast het overnemen van de algehele infectieketen van de oorspronkelijke variant van september, stelt de aanval bedreigingsactoren in staat ongeautoriseerde toegang te krijgen tot npm-onderhouderaccounts en getrojaniseerde versies van hun pakketten te publiceren. Wanneer nietsvermoedende ontwikkelaars deze bibliotheken downloaden en uitvoeren, achterdeurt de ingebedde kwaadaardige code hun eigen machines, scant op geheimen en exfiltreert deze naar GitHub-repository’s met behulp van de gestolen tokens.
De aanval bereikt dit door twee frauduleuze workflows te injecteren, waarvan er één de slachtoffermachine registreert als een zelfgehoste runner en willekeurige opdrachtuitvoering mogelijk maakt wanneer een GitHub-discussie wordt geopend. Een tweede workflow is ontworpen om systematisch alle geheimen te verzamelen. Meer dan 28.000 opslagplaatsen zijn getroffen door het incident.
“Deze versie verbetert de stealth aanzienlijk door gebruik te maken van de Bun-runtime om de kernlogica te verbergen en vergroot de potentiële schaal door de infectielimiet te verhogen van 20 naar 100 pakketten”, aldus Ronen Slavin en Roni Kuznicki van Cycode. “Het maakt ook gebruik van een nieuwe ontwijkingstechniek, waarbij gestolen gegevens worden geëxfiltreerd naar willekeurig genoemde openbare GitHub-opslagplaatsen in plaats van naar één enkele, hardgecodeerde opslagplaats.”
De aanvallen illustreren hoe triviaal het is voor aanvallers om misbruik te maken van vertrouwde softwaredistributieroutes om kwaadaardige versies op grote schaal te verspreiden en duizenden downstream-ontwikkelaars in gevaar te brengen. Bovendien betekent het zelfreplicerende karakter van de malware dat één geïnfecteerd account voldoende is om de explosieradius van de aanval te vergroten en er in korte tijd een wijdverbreide uitbraak van te maken.
Verdere analyse door Aikido heeft aan het licht gebracht dat de bedreigingsactoren kwetsbaarheden misbruikten, met name gericht op CI-misconfiguraties in pull_request_target en workflow_run workflows, in bestaande GitHub Actions-workflows om de aanval uit te voeren en projecten in verband met AsyncAPI, PostHog en Postman in gevaar te brengen.
De kwetsbaarheid “gebruikte de riskante pull_request_target-trigger op een manier waardoor code die door een nieuw pull-verzoek werd geleverd, kon worden uitgevoerd tijdens de CI-run”, aldus beveiligingsonderzoeker Ilyas Makari. “Eén enkele misconfiguratie kan een repository veranderen in een patiënt-nul voor een zich snel verspreidende aanval, waardoor een tegenstander de mogelijkheid krijgt om kwaadaardige code door geautomatiseerde pijplijnen te duwen waar je elke dag op vertrouwt.”
Geschat wordt dat de activiteit de voortzetting is van een bredere reeks aanvallen gericht op het ecosysteem die begon met de S1ngularity-campagne van augustus 2025, die verschillende Nx-pakketten op npm beïnvloedde.
“Als een nieuwe en aanzienlijk agressievere golf van npm supply chain-malware combineert Shai-Hulud 2 heimelijke uitvoering, referentiebreedte en destructief gedrag, waardoor het een van de meest impactvolle supply chain-aanvallen van het jaar is”, zegt Nadav Sharkazy, een productmanager bij Apiiro, in een verklaring.
“Deze malware laat zien hoe een enkele inbreuk in een populaire bibliotheek duizenden downstream-applicaties kan binnendringen door tijdens de installatie legitieme pakketten te trojaniseren.”
Uit gegevens verzameld door GitGuardian, OX Security en Wiz blijkt dat de campagne honderden GitHub-toegangstokens en inloggegevens heeft gelekt die verband houden met Amazon Web Services (AWS), Google Cloud en Microsoft Azure. Er zijn meer dan 5.000 bestanden met de geëxfiltreerde geheimen naar GitHub geüpload. GitGuardian’s analyse van 4.645 GitHub-repository’s heeft 11.858 unieke geheimen geïdentificeerd, waarvan er 2.298 geldig en openbaar bleven op 24 november 2025.
Gebruikers wordt geadviseerd om alle tokens en sleutels te rouleren, alle afhankelijkheden te controleren, gecompromitteerde versies te verwijderen, schone pakketten opnieuw te installeren en ontwikkelaars- en CI/CD-omgevingen te versterken met toegang met de minste rechten, geheime scans en geautomatiseerde beleidshandhaving.
“Sha1-Hulud herinnert ons er opnieuw aan dat de moderne software-toeleveringsketen nog steeds veel te gemakkelijk te doorbreken is”, zegt Dan Lorenc, medeoprichter en CEO van Chainguard. “Een enkele gecompromitteerde beheerder en een kwaadaardig installatiescript zijn voldoende om binnen enkele uren duizenden downstream-projecten te doorlopen.”
“De technieken die aanvallers gebruiken, evolueren voortdurend. De meeste van deze aanvallen zijn niet afhankelijk van zero-days. Ze exploiteren de gaten in de manier waarop open source-software wordt gepubliceerd, verpakt en in productiesystemen wordt opgenomen. De enige echte verdediging is het veranderen van de manier waarop software wordt gebouwd en geconsumeerd.”
