As melhores informações sobre criptomoedas direto na sua caixa de entrada.
O worm Mini Shai-Hulud sequestra 323 pacotes npm em menos de 30 minutos através de uma única conta roubada
- O worm Mini Shai-Hulud comprometeu 323 pacotes npm através da conta "atool" sequestrada em 19 de maio, publicando 639 versões maliciosas.
- Os pacotes afetados incluem echarts-for-react (1,1 milhão de downloads semanais), size-sensor (4,2 milhões) e todo o ecossistema de visualização de dados @antv da Alibaba.
- A campanha mais ampla já atingiu 1.055 versões em 502 pacotes, abrangendo os registros npm, PyPI e Composer.
Em 19 de maio, o worm Mini Shai-Hulud comprometeu uma conta de mantenedor do npm e distribuiu 639 versões maliciosas em 323 pacotes em menos de 30 minutos.
A conta comprometida, “atool” ([email protected]), publica toda a pilha de visualização de dados @antv da Alibaba, juntamente com bibliotecas independentes usadas em painéis de criptomoedas, DeFi e aplicativos fintech.
Os sites com maior tráfego são: size-sensor, com 4,2 milhões de downloads semanais; echarts-for-react, com 1,1 milhão; @antv/scale, com 2,2 milhões; e timeago.js, com 1,15 milhão.
Projetos que usam intervalos de versionamento semântico como ^3.0.6 para echarts-for-react foram automaticamente resolvidos para a versão maliciosa 3.2.7 na próxima instalação limpa. O mantenedor fechou os avisos de segurança do GitHub em menos de uma hora, ocultando-os em issues já fechadas.
O que a carga rouba e como ela persiste
De acordo com o Socket.dev, o malware coleta mais de 20 tipos dedent: chaves da AWS por meio de metadados do EC2 e ECS, tokens do Google Cloud e Azure, tokens do GitHub e npm, chaves SSH, contas de serviço do Kubernetes, segredos do HashiCorp Vault, chaves da API do Stripe, strings de conexão de banco de dados e cofres de senhas locais do 1Password e Bitwarden.
A exfiltração ocorre por meio de dois canais. Asdentroubadas são criptografadas com AES-256-GCM e enviadas para um servidor de comando e controle.
Como medida de segurança, o worm usa tokens comprometidos do GitHub para criar repositórios públicos com nomes relacionados a Duna, como sardaukar-melange-742 ou fremen-sandworm-315, e então envia os dados roubados como arquivos. A StepSecurity relatou que mais de 2.500 repositórios do GitHub já contêm indicadores ligados à campanha.
Além disso, o worm usa criptografia nos dados roubados em tracOpenTelemetry transferidos via HTTPS. Em máquinas baseadas em Linux, ele configura um serviço de usuário do systemd capaz de buscar instruções do GitHub mesmo após a remoção do pacote.
O worm modifica os arquivos de configuração .vscode e .claude para garantir a reativação em ambientes de desenvolvimento.
A campanha continua crescendo
Esta é a terceira onda. Como Cryptopolitan relatado em janeiro, a variante original do Shai-Hulud atingiu os pacotes npm da Trust Wallet e causou perdas de US$ 8,5 milhões. A segunda onda atingiu a Mistral AI, a TanStack, a UiPath e a Guardrails AI em 11 de maio.
A Socket conseguiudentum total de 1.055 versões comprometidas em 502 pacotes distintos através do npm, PyPI e Composer.
Segundo pesquisadores da Datadog, o grupo de ameaças por trás da campanha, TeamPCP, promoveu suas ferramentas em fóruns clandestinos de hackers. Versões imitadoras surgiram, utilizando servidores de comando e controle diferentes, o que dificulta a atribuição da autoria.
O CEO da SlowMist, 23pds, afirmou que qualquer ambiente que tenha instalado versões afetadas deve ser tratado como totalmente comprometido.
Algumas ações recomendadas incluem revogar todos os tokens de acesso, rotacionar asdentda AWS, GitHub, npm e provedores de nuvem, implementar autenticação multifator para publicação de contas e revisar qualquer atividade suspeita nos repositórios.
As mentes mais brilhantes do mundo das criptomoedas já leem nossa newsletter. Quer participar? Junte-se a elas.
Perguntas frequentes
O que é Mini Shai-Hulud?
Mini Shai-Hulud é uma campanha de malware autorreplicante atribuída a um grupo com motivações financeiras chamado TeamPCP, que se espalha por meio de pacotes npm comprometidos, roubandodentde desenvolvedores e usando-as para publicar versões adicionais de pacotes infectados sobdentlegítimas de mantenedores.
Quais pacotes do npm foram afetados?
A onda de 19 de maio afetou 323 pacotes e 639 versões vinculadas à conta npm "atool", incluindo o echarts-for-react (aproximadamente 1,1 milhão de downloads semanais), o pacote de visualização de dados @antv da Alibaba, o timeago.js e o size-sensor, de acordo com pesquisas da SafeDep e da Socket.
O que os desenvolvedores devem fazer se instalaram um pacote afetado?
Pesquisadores de segurança recomendam tratar a máquina ou o executor de CI como totalmente comprometido: rotacione todas asdent(AWS, GitHub, npm, SSH, banco de dados), habilite a autenticação de dois fatores, audite o GitHub em busca de repositórios não autorizados que correspondam ao padrão de nomenclatura da campanha e remova backdoors persistentes de arquivos de configuração de ferramentas de desenvolvedor, como `.vscode/tasks.json` e `.claude/settings.json`.
Aviso Legal. As informações fornecidas não constituem aconselhamento de investimento. CryptopolitanO não se responsabiliza por quaisquer investimentos realizados com base nas informações fornecidas nesta página. Recomendamostrona realização de pesquisas independentesdent /ou a consulta a um profissional qualificado antes de tomar qualquer decisão de investimento.
Micah Abiodun
Micah Abiodun utiliza com maestria seu mestrado em Engenharia e Gestão Ambiental pela Universidade de Tecnologia de Tallinn (TalTech) para aprimorar o conteúdo e as notícias de previsão de preços no Cryptopolitan. Com sete anos de experiência na mídia cripto, ele cobre as principais criptomoedas, altcoins, DeFi, stablecoins, tendências macroeconômicas e tecnologias emergentes
CURSO
- Quais criptomoedas podem te fazer ganhar dinheiro?
- Como aumentar a segurança da sua carteira digital (e quais realmente valem a pena usar)
- Estratégias de investimento pouco conhecidas que os profissionais utilizam
- Como começar a investir em criptomoedas (quais corretoras usar, as melhores criptomoedas para comprar etc.)