{"id":149530,"date":"2025-11-25T17:11:58","date_gmt":"2025-11-25T15:11:59","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/pri-pomoshhi-chervya-shai-hulud-skomprometirovano-600-npm-paketov"},"modified":"2025-11-25T17:11:58","modified_gmt":"2025-11-25T15:11:59","slug":"pri-pomoshhi-chervya-shai-hulud-skomprometirovano-600-npm-paketov","status":"publish","type":"post","link":"https:\/\/prohoster.info\/it\/blog\/news\/pri-pomoshhi-chervya-shai-hulud-skomprometirovano-600-npm-paketov","title":{"rendered":"Con l'aiuto del verme Shai-Hulud sono stati compromessi 600 pacchetti NPM","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
\u00c8 stata registrata un'altra attacco ai pacchetti nel repository NPM, condotto con l'uso di una modifica del verme auto-replicante Shai-Hulud, che inserisce malware nelle dipendenze. A causa dell'attacco, sono state pubblicate versioni malevole di 605 pacchetti, che complessivamente superano i 100 milioni di download. <\/p>\n
Per eseguire l'attacco, i criminali informatici hanno intercettato tramite phishing i parametri dell'account del manutentore di uno dei pacchetti popolari, utilizzato come dipendenza da un gran numero di pacchetti. Approfittando dell'account compromesso, gli attaccanti hanno pubblicato una release del pacchetto, in cui \u00e8 stato aggiunto un codice per attivare il verme durante l'installazione del pacchetto compromesso tra le dipendenze. Il verme attivato cerca le credenziali nell'ambiente attuale, scaricando e avviando l'utility TruffleHog. <\/p>\n
Nel caso venga scoperto un token di connessione al catalogo NPM, il verme pubblica automaticamente nuove release malevole per pacchetti sviluppati nell'ambiente attuale. In questo modo, l'intero albero delle dipendenze viene compromesso a cascata. Oltre al token NPM, il verme salva le chiavi di accesso a GitHub e ai servizi cloud AWS, Azure e GCP (Google Cloud Platform), oltre a variabili di ambiente e altri dati sensibili che \u00e8 in grado di identificare il scanner TruffleHog. <\/p>\n
I dati riservati trovati nel sistema vengono pubblicati su GitHub attraverso la creazione di repository con nomi casuali (ad esempio, «qzx15djl71alh6p80h») e la frase «Sha1-Hulud: The Second Coming» nella descrizione, oltre ad essere mostrati in forma codificata nei log di GitHub Actions. Nel repository creato viene posizionato un file in formato JSON (come jsonactionsSecrets.json o contents.json), contenente una stringa con informazioni sul sistema codificate in base64, variabili d'ambiente e dati catturati. Per inviare informazioni al di fuori dei sistemi di integrazione continua basati su GitHub, il worm crea un gestore di GitHub Actions chiamato «.github\/workflows\/formatter_123456789.yml» e configura un runner chiamato SHA1HULUD. <\/p>\n
Le differenze rispetto a un attacco simile di settembre riguardano un metodo diverso di inserimento del codice dannoso nel pacchetto. Nei rilasci malevoli generati dal worm si dichiara l\u2019implementazione del supporto per la piattaforma JavaScript Bun. Nel file package.json, nella sezione «preinstall», che definisce gli script eseguiti prima dell'inizio dell'installazione, viene aggiunto il comando «node setup_bun.js».
<\/center> <\/p>\n
Nel file «setup_bun.js» \u00e8 presente del codice per eseguire uno script offuscato «bun_environment.js», contenente il codice del worm. Per la sua ulteriore diffusione, il worm trova il codice dei pacchetti, modifica il file package.json (incrementa il numero di versione e include la chiamata a setup_bun.js), aggiunge i file setup_bun.js e bun_environment.js, riporta il pacchetto e esegue il comando «npm publish» per pubblicare un nuovo rilascio. <\/p>\n
![\"Con](\"\/wp-content\/uploads\/2025\/11\/9b6fe1ba9d28fa5432b53d051ad21724.png\")
<\/center> <\/p>\n