Meerdere beveiligingsleveranciers luiden de noodklok over een tweede golf van aanvallen gericht op het npm-register op een manier die doet denken aan de Shai-Hulud-aanval.
De nieuwe supply chain-campagne, genaamd Sha1-Huludheeft honderden npm-pakketten gecompromitteerd, volgens rapporten van Aikido, HelixGuard, Koi Security, Socket en Wiz.
“De campagne introduceert een nieuwe variant die kwaadaardige code uitvoert tijdens de pre-installatiefase, waardoor de potentiële blootstelling in build- en runtime-omgevingen aanzienlijk wordt vergroot”, aldus Wiz-onderzoekers Hila Ramati, Merav Bar, Gal Benmocha en Gili Tikochinski.
Net als de Shai-Hulud-aanval die in september 2025 aan het licht kwam, publiceert de nieuwste activiteit ook gestolen geheimen op GitHub, dit keer met de repositorybeschrijving: “Sha1-Hulud: The Second Coming.”
De voorgaande golf werd gekenmerkt door het compromitteren van legitieme pakketten om kwaadaardige code te pushen die was ontworpen om ontwikkelaarsmachines te doorzoeken op geheimen met behulp van de inloggegevensscanner van TruffleHog en deze naar een externe server onder controle van de aanvaller te verzenden.
De geïnfecteerde varianten hadden ook de mogelijkheid om zich op een zelfreplicerende manier te verspreiden door zichzelf opnieuw te publiceren in andere npm-pakketten die eigendom waren van de gecompromitteerde onderhouder.
Bij de laatste reeks aanvallen is gebleken dat de aanvallers iets toevoegen aan een vooraf geïnstalleerd script (“setup_bun.js”) in het bestand package.json, dat is geconfigureerd om heimelijk de Bun-runtime te installeren of te lokaliseren en een gebundeld kwaadaardig script uit te voeren (“bun_environment.js”).
De kwaadaardige payload voert de volgende reeks acties uit via twee verschillende workflows:
Registreert de geïnfecteerde machine als een zelf-hostende runner genaamd “SHA1HULUD” en voegt een workflow toe met de naam .github/workflows/discussion.yaml die een injectiekwetsbaarheid bevat en specifiek draait op zelf-hostende runners, waardoor de aanvaller willekeurige opdrachten kan uitvoeren op de geïnfecteerde machines door discussies te openen in de GitHub-repository
Exfiltreert geheimen die zijn gedefinieerd in de sectie GitHub-geheimen en uploadt deze als een artefact, waarna het wordt gedownload, gevolgd door het verwijderen van de workflow om de activiteit te verbergen.
“Bij uitvoering downloadt de malware TruffleHog en voert deze uit om de lokale machine te scannen, waarbij gevoelige informatie wordt gestolen, zoals NPM-tokens, AWS/GCP/Azure-inloggegevens en omgevingsvariabelen”, aldus Helixuard.
Wiz zei dat het meer dan 25.000 getroffen repository’s heeft ontdekt onder ongeveer 350 unieke gebruikers, waarbij er de afgelopen uren consequent elke 30 minuten 1.000 nieuwe repository’s zijn toegevoegd.
“Deze campagne zet de trend van NPM-compromisjes in de toeleveringsketen voort, waarbij wordt verwezen naar de naamgeving en het vakmanschap van Shai-Hulud, hoewel er mogelijk verschillende actoren bij betrokken zijn”, aldus Wiz. “De dreiging maakt gebruik van gecompromitteerde beheerdersaccounts om getrojaniseerde versies van legitieme npm-pakketten te publiceren die tijdens de installatie inlogdiefstal en exfiltratiecode uitvoeren.”
Koi Security noemde de tweede golf een stuk agressiever en voegde eraan toe dat de malware probeert de volledige thuismap van het slachtoffer te vernietigen als het niet lukt om te authenticeren of persistentie tot stand te brengen. Dit omvat elk beschrijfbaar bestand dat eigendom is van de huidige gebruiker in zijn thuismap. Deze ruitenwisserachtige functionaliteit wordt echter alleen geactiveerd als aan de volgende voorwaarden is voldaan:
- Het kan niet verifiëren bij GitHub
- Er kan geen GitHub-repository worden gemaakt
- Er kan geen GitHub-token worden opgehaald
- Er kan geen npm-token worden gevonden
“Met andere woorden: als Sha1-Hulud er niet in slaagt inloggegevens te stelen, tokens te verkrijgen of enig exfiltratiekanaal te beveiligen, zal het standaard tot catastrofale gegevensvernietiging overgaan”, aldus beveiligingsonderzoekers Yuval Ronen en Idan Dardikman. “Dit markeert een aanzienlijke escalatie ten opzichte van de eerste golf, waarbij de tactiek van de acteur verschuift van puur datadiefstal naar bestraffende sabotage.”
Om het risico van de dreiging te beperken, worden organisaties aangespoord om alle eindpunten te scannen op de aanwezigheid van getroffen pakketten, gecompromitteerde versies met onmiddellijke ingang te verwijderen, alle inloggegevens te roteren en opslagplaatsen te controleren op persistentiemechanismen door .github/workflows/ te controleren op verdachte bestanden zoals shai-hulud-workflow.yml of onverwachte branches.
(Dit is een verhaal in ontwikkeling en zal worden bijgewerkt zodra er nieuwe details verschijnen.)
