Question 1

Qu'est-ce que le Mini Shai-Hulud ?

Accepted Answer

Mini Shai-Hulud est une campagne de logiciels malveillants auto-réplicatifs attribuée à un groupe à motivation financière appelé TeamPCP qui se propage via des packages npm compromis, volant lesdentdes développeurs et les utilisant pour publier d'autres versions de packages empoisonnées sous desdentde mainteneurs légitimes.

Question 2

Quels packages npm ont été affectés ?

Accepted Answer

La vague du 19 mai a compromis 317 packages et 637 versions liés au compte npm « atool », dont echarts-for-react (environ 1,1 million de téléchargements hebdomadaires), la suite de visualisation de données @antv d'Alibaba, timeago.js et size-sensor, selon les recherches de SafeDep et Socket.

Question 3

Que doivent faire les développeurs s'ils ont installé un package affecté ?

Accepted Answer

Les chercheurs en sécurité recommandent de considérer la machine ou le runner CI comme totalement compromis : renouveler tous lesdent(AWS, GitHub, npm, SSH, base de données), activer l’authentification à deux facteurs, auditer GitHub à la recherche de dépôts non autorisés correspondant au modèle de nommage de la campagne et supprimer les portes dérobées persistantes des fichiers de configuration des outils de développement tels que `.vscode/tasks.json` et `.claude/settings.json`.

Mini Shai-Hulud

Le ver Mini Shai-Hulud détourne 323 paquets npm en moins de 30 minutes via un seul compte volé

Un briefing précis.
Chaque jour.

Mini Shai-Hulud

Le ver Mini Shai-Hulud détourne 323 paquets npm en moins de 30 minutes via un seul compte volé

Un briefing précis.Chaque jour.

Un briefing précis.
Chaque jour.