{"id":149530,"date":"2025-11-25T17:11:58","date_gmt":"2025-11-25T15:11:59","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/pri-pomoshhi-chervya-shai-hulud-skomprometirovano-600-npm-paketov"},"modified":"2025-11-25T17:11:58","modified_gmt":"2025-11-25T15:11:59","slug":"pri-pomoshhi-chervya-shai-hulud-skomprometirovano-600-npm-paketov","status":"publish","type":"post","link":"https:\/\/prohoster.info\/pt\/blog\/news\/pri-pomoshhi-chervya-shai-hulud-skomprometirovano-600-npm-paketov","title":{"rendered":"Com o verme Shai-Hulud, 600 pacotes NPM foram comprometidos.","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Registrada a segunda ataque a pacotes no reposit\u00f3rio NPM, realizado com a modifica\u00e7\u00e3o do worm de auto-replica\u00e7\u00e3o Shai-Hulud, que insere malware nas depend\u00eancias. Como resultado do ataque, foram publicados lan\u00e7amentos maliciosos de 605 pacotes, totalizando mais de 100 milh\u00f5es de downloads. <\/p>\n
Para realizar o ataque, os criminosos interceptaram, atrav\u00e9s de phishing, os par\u00e2metros da conta de um mantenedor de um dos pacotes populares usado como depend\u00eancia por muitos pacotes. Aproveitando a conta capturada, os atacantes publicaram uma nova vers\u00e3o do pacote, \u00e0 qual foi adicionado um c\u00f3digo para ativar o worm ao instalar o pacote comprometido entre as depend\u00eancias. O worm ativado procura credenciais no ambiente atual, baixando e executando a ferramenta TruffleHog. <\/p>\n
Se um token de conex\u00e3o ao diret\u00f3rio NPM for detectado, o worm automaticamente publica novos lan\u00e7amentos maliciosos para pacotes desenvolvidos no ambiente atual. Dessa forma, toda a \u00e1rvore de depend\u00eancias \u00e9 comprometida em sequ\u00eancia. Al\u00e9m do token NPM, o worm salva chaves de acesso ao GitHub e servi\u00e7os em nuvem como AWS, Azure e GCP (Google Cloud Platform), al\u00e9m de vari\u00e1veis de ambiente e outros dados confidenciais que podem ser detectados pelo scanner TruffleHog. <\/p>\n
Dados confidenciais encontrados no sistema est\u00e3o sendo publicados no GitHub atrav\u00e9s da cria\u00e7\u00e3o de reposit\u00f3rios com nomes aleat\u00f3rios (por exemplo, «qzx15djl71alh6p80h») e a frase «Sha1-Hulud: The Second Coming» na descri\u00e7\u00e3o, al\u00e9m de serem exibidos em formato codificado nos logs do GitHub Actions. No reposit\u00f3rio criado, haver\u00e1 um arquivo no formato JSON (por exemplo, jsonactionsSecrets.json ou contents.json), que cont\u00e9m uma string com informa\u00e7\u00f5es sobre o sistema codificadas em base64, vari\u00e1veis de ambiente e dados capturados. Para transmitir informa\u00e7\u00f5es para fora de sistemas de integra\u00e7\u00e3o cont\u00ednua baseados em GitHub, o worm cria um handler do GitHub Actions chamado «.github\/workflows\/formatter_123456789.yml» e configura um runner nomeado SHA1HULUD. <\/p>\n
As diferen\u00e7as em rela\u00e7\u00e3o ao ataque semelhante de setembro est\u00e3o na distinta metodologia de inser\u00e7\u00e3o de c\u00f3digo malicioso no pacote. Nos lan\u00e7amentos maliciosos gerados pelo worm, \u00e9 anunciada a implementa\u00e7\u00e3o de suporte \u00e0 plataforma JavaScript Bun. No arquivo package.json, na se\u00e7\u00e3o «preinstall», que define os scripts executados antes do in\u00edcio da instala\u00e7\u00e3o, \u00e9 adicionada a linha de comando «node setup_bun.js».
<\/center> <\/p>\n
No arquivo «setup_bun.js» h\u00e1 c\u00f3digo para executar um script ofuscado «bun_environment.js», que cont\u00e9m o c\u00f3digo do worm. Para sua propaga\u00e7\u00e3o adicional, o worm localiza o c\u00f3digo dos pacotes, faz altera\u00e7\u00f5es no arquivo package.json (aumenta o n\u00famero da vers\u00e3o e inclui a chamada para setup_bun.js), adiciona os arquivos setup_bun.js e bun_environment.js, reempacota o pacote e executa o comando «npm publish» para publicar uma nova vers\u00e3o. <\/p>\n
Entre os pacotes populares comprometidos est\u00e3o: @zapier\/zapier-sdk (2,8 milh\u00f5es de downloads por semana), @posthog\/core (2,8 milh\u00f5es), posthog-node (1,5 milh\u00f5es), @asyncapi\/specs (1,4 milh\u00f5es), @postman\/tunnel-agent (1,2 milh\u00f5es). Presume-se que o ataque come\u00e7ou com a compromiss\u00e3o do pacote acompanhante @asyncapi\/specs. \n Fonte: opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"
![\"Com](\"\/wp-content\/uploads\/2025\/11\/9b6fe1ba9d28fa5432b53d051ad21724.png\")
<\/center> <\/p>\n