Varios proveedores de seguridad están haciendo sonar la aviso sobre una segunda ola de ataques dirigidos al registro npm de una guisa que recuerda al ataque Shai-Hulud.
La nueva campaña de la sujeción de suministro, denominada Sha1-Huludha comprometido cientos de paquetes npm, según informes de Aikido, HelixGuard, Koi Security, Socket, Step Security y Wiz. Los paquetes npm troyanizados se cargaron en npm entre el 21 y el 23 de noviembre de 2025.
“La campaña introduce una nueva reforma que ejecuta código bellaco durante la grado de preinstalación, aumentando significativamente la exposición potencial en entornos de construcción y ejecución”, dijeron los investigadores de Wiz Hila Ramati, Merav Bar, Gal Benmocha y Gili Tikochinski.
Al igual que el ataque Shai-Hulud que salió a la luz en septiembre de 2025, la última actividad además publica secretos robados en GitHub, esta vez con la descripción del repositorio: “Sha1-Hulud: The Second Coming”.
La ola preliminar se caracterizó por el compromiso de paquetes legítimos para mandar código bellaco diseñado para averiguar secretos en las máquinas de los desarrolladores utilizando el escáner de credenciales de TruffleHog y transmitirlos a un servidor foráneo bajo el control del atacante.
Las variantes infectadas además tenían la capacidad de propagarse de guisa autorreplicante al retornar a publicarse en otros paquetes npm propiedad del mantenedor comprometido.
En el postrero conjunto de ataques, se descubrió que los atacantes agregaban un script de preinstalación (“setup_bun.js”) en el archivo package.json, que está configurado para instalar o circunscribir de guisa sigilosa el tiempo de ejecución de Bun y ejecutar un script bellaco incluido (“bun_environment.js”).
La carga útil maliciosa lleva a extremidad la venidero secuencia de acciones a través de dos flujos de trabajo diferentes:
- Registra la máquina infectada como un ejecutor autohospedado llamado “SHA1HULUD” y agrega un flujo de trabajo llamado .github/workflows/discussion.yaml que contiene una vulnerabilidad de inyección y se ejecuta específicamente en ejecutores autohospedados, lo que permite al atacante ejecutar comandos arbitrarios en las máquinas infectadas abriendo discusiones en el repositorio de GitHub.
- Exfiltra todos los secretos definidos en la sección de secretos de GitHub y los carga como un artefacto en un archivo llamado “actionsSecrets.json” en los repositorios de exfiltración, posteriormente de lo cual se descarga en la máquina comprometida y el flujo de trabajo se elimina para ocultar la actividad.
“Tras la ejecución, el malware descarga y ejecuta TruffleHog para escanear la máquina almacén, robando información confidencial como tokens NPM, credenciales de AWS/GCP/Azure y variables de entorno”, señaló Helixuard.
Wiz dijo que detectó más de 25.000 repositorios afectados en aproximadamente 350 usuarios únicos, y que se agregaron constantemente 1.000 nuevos repositorios cada 30 minutos en las últimas horas.
“Esta campaña continúa la tendencia de compromisos de la sujeción de suministro del npm que hacen remisión a los nombres y el oficio comercial de Shai-Hulud, aunque puede involucrar a diferentes actores”, dijo Wiz. “La amenaza aprovecha las cuentas de mantenimiento comprometidas para imprimir versiones troyanizadas de paquetes npm legítimos que ejecutan robo de credenciales y código de exfiltración durante la instalación”.
Koi Security calificó la segunda ola como mucho más agresiva y agregó que el malware intenta destruir todo el directorio de inicio de la víctima si no logra autenticarse o establecer persistencia. Esto incluye todos los archivos grabables propiedad del usufructuario contemporáneo en su carpeta de inicio. Sin incautación, esta funcionalidad similar a un detergente se activa solo cuando se cumplen las siguientes condiciones:
- No puede autenticarse en GitHub
- No puede crear un repositorio de GitHub
- No puede recuperar un token de GitHub
- No puede encontrar un token npm
“En otras palabras, si Sha1-Hulud no puede robar credenciales, obtener tokens o apoyar cualquier canal de exfiltración, por defecto realizará una destrucción de datos catastrófica”, dijeron los investigadores de seguridad Yuval Ronen e Idan Dardikman. “Esto marca una subida significativa con respecto a la primera ola, cambiando las tácticas del actor del puro robo de datos al boicoteo punitivo”.
Igualmente se ha descubierto que el malware obtiene privilegios de root ejecutando un comando Docker que monta el sistema de archivos raíz del host en un contenedor privilegiado con el objetivo de copiar un archivo sudoers bellaco, otorgando al atacante ataque root sin contraseña al usufructuario comprometido.
Para mitigar el peligro que plantea la amenaza, se insta a las organizaciones a escanear todos los puntos finales en escudriñamiento de la presencia de paquetes afectados, eliminar las versiones comprometidas con objetivo inmediato, rotar todas las credenciales y auditar los repositorios en escudriñamiento de mecanismos de persistencia revisando .github/workflows/ en escudriñamiento de archivos sospechosos como shai-hulud-workflow.yml o ramas inesperadas.
(Esta es una historia en explicación y se actualizará a medida que surjan nuevos detalles).
