Shai-Hulud, il worm che ha colpito npm e PyPI è ora libero! Il codice è scaricabile su GitHub

Gli attacchi che utilizzano il malware Shai-Hulud hanno colpito centinaia di pacchetti su npm e PyPI, rubando informazioni e compromettendo progetti popolari come TanStack e Mistral AI. Il malware è in grado di rubare token e credenziali. La sua pubblicazione del codice sorgente potrebbe aumentare il numero di copie del worm

Una nuova ondata di attacchi malware Shai-Hulud ha colpito centinaia di pacchetti su npm e PyPI. Gli hacker del gruppo TeamPCP hanno compromesso progetti popolari, tra cui TanStack e Mistral AI, hanno integrato un malware per rubare informazioni riservate e hanno poi reso accessibili al pubblico i repository interni di Mistral AI. Poco dopo, il codice sorgente del worm è stato pubblicato su GitHub con licenza MIT.

Gli attacchi sono iniziati all’inizio di questa settimana con la compromissione dei pacchetti TanStack e Mistral AI. Secondo gli esperti, gli aggressori hanno rubato le credenziali CI/CD e utilizzato pipeline legittime per pubblicare versioni compromesse. Di conseguenza, gli aggiornamenti dannosi hanno ottenuto attestazioni SLSA Build Level 3, GitHub Actions e firme Sigstore. Ciò significava che questi pacchetti apparivano completamente legittimi agli sviluppatori.

La campagna si è poi diffusa a decine di altri progetti, tra cui UiPath, Guardrails AI, OpenSearch, Bitwarden CLI e pacchetti ufficiali SAP. Diverse società di sicurezza (tra cui Endor Labs , Aikido e Socket) hanno contato tra 160 e oltre 400 pacchetti infetti.

Secondo un rapporto pubblicato da TanStack, gli aggressori hanno sfruttato diverse vulnerabilità durante l’attacco: un pericoloso flusso di lavoro pull_request_target, l’avvelenamento della cache di GitHub Actions e il furto di token OIDC dalla memoria del runner.

Inoltre, Endor Labs ha descritto un trucco insolito con un commit orfano nel fork del repository TanStack/router: npm ha automaticamente incluso questo codice tramite una dipendenza opzionale e lo ha eseguito durante l’installazione del pacchetto.

L’obiettivo principale del worm Shai-Hulud è rubare segreti degli sviluppatori e token di infrastruttura. Il malware cerca token PAT e OIDC di GitHub, chiavi AWS, credenziali Kubernetes, Vault, chiavi SSH, file .env e configurazioni di Claude Code e VS Code. Per esfiltrare i dati viene utilizzato il protocollo P2P di sessione, mascherando il traffico malevolo come una messaggistica crittografata.

Inoltre, la rimozione del pacchetto infetto non sempre risolve il problema, poiché il malware riesce a infiltrarsi nel sistema tramite gli hook di Claude Code e le attività di avvio automatico di VS Code.

Gli analisti di Microsoft hanno esaminato separatamente il pacchetto malware Mistral AI su PyPI. Hanno riferito che il payload, denominato transformers.pyz, si mascherava da libreria Hugging Face Transformers e installava un malware di furto di sistema per Linux. Inoltre, è stata rilevata la presenza di geofencing nel malware: sui sistemi con impostazioni regionali russe, il malware non si avviava, mentre sugli host collegati a Israele o Iran, il comando rm -rf / veniva eseguito con una probabilità di una su sei.

Nel frattempo, i rappresentanti di OpenAI hanno segnalato che una campagna malevola e l’attacco hacker a TanStack hanno colpito gli account di due dei suoi dipendenti. Di conseguenza, sono state rubate alcune credenziali e una parte limitata del codice sorgente. Dopo aver scoperto l’incidente, OpenAI ha riemesso i certificati di firma del codice e ha avvertito gli utenti macOS che le versioni precedenti dell’applicazione desktop non avrebbero più funzionato dopo il 12 giugno.

Tuttavia, la storia non è finita qua. Pochi giorni dopo l’inizio degli attacchi, i ricercatori di Ox scoprirono due repository su GitHub contenenti il codice sorgente del worm Shai-Hulud e un messaggio di TeamPCP: “È codificato con Vibe? Sì. Funziona? Lasciamo che siano i risultati a parlare”. Secondo gli esperti, quasi immediatamente iniziarono ad apparire fork e modifiche del malware.

Gli esperti avvertono che la pubblicazione del codice sorgente potrebbe aumentare drasticamente il numero di copie del worm, portando a nuovi attacchi alle catene di approvvigionamento. La situazione è ulteriormente complicata dalla capacità di Shai-Hulud di rubare automaticamente i token di GitHub e npm, caricare i dati rubati su nuovi repository GitHub e diffondersi autonomamente.

“Ora TeamPCP non si limita a distribuire malware; sta distribuendo capacità. Aprendo il codice sorgente, ha fornito a chiunque gli strumenti per creare la propria variante. E gli imitatori sono già qui”, scrivono gli analisti di Ox.

Carolina Vivianti

Carolina Vivianti è consulente/Advisor autonomo in sicurezza informatica con esperienza nel settore tech e security. Ha lavorato come Security Advisor per Ford EU/Ford Motor Company e Vodafone e ha studi presso la Sapienza Università di Roma.

Aree di competenza: Cybersecurity, IT Risk Management, Security Advisory, Threat Analysis, Data Protection, Cloud Security, Compliance & Governance