Campania malware Shai-Hulud a revenit cu un nou val care vizează ecosistemul npm, afectând de această dată 281 de versiuni de pachete malițioase și implementând o tehnică de execuție inedită ce eludează instrumentele de securitate convenționale, potrivit unui raport publicat de Sonatype pe 4 iunie 2026.
Un vector de atac mai discret
Cel mai recent val, denumit intern „Miasma: The Spreading Blight”, marchează o evoluție în modul în care programul malițios declanșează execuția. În loc să se bazeze pe scripturile preinstall sau postinstall din package.json — hook-urile pe care majoritatea scanerelor de securitate sunt antrenate să le detecteze — campania exploatează fișierul binding.gyp, asociat în mod normal cu modulele native Node.js. Când dezvoltatorii sau pipeline-urile CI/CD rulează npm install, prezența fișierului binding.gyp determină node-gyp să inițieze un proces de reconstruire, în cursul căruia un payload JavaScript malițios se execută în tăcere.
„Riscul la momentul instalării este mai amplu decât cel al scripturilor de instalare”, a scris echipa de cercetare în securitate Sonatype. „Un pachet poate părea curat la nivel de metadate și totuși să execute cod în timpul instalării.”
Odată declanșat, programul malițios colectează date despre sistem, caută token-uri de acces GitHub, credențiale pentru registre de pachete și secrete cloud de la AWS, GCP și Azure. Ulterior, validează credențialele furate, enumerează depozitele accesibile și — dacă permisiunile o permit — publică noi versiuni malițioase ale unor pachete legitime, folosind accesul menținătorului compromis.
O campanie cu istoric
Valul Miasma urmează o serie de atacuri Shai-Hulud care au escaladat ca amploare pe parcursul anilor 2025 și 2026. Frameworkul a fost inițial publicat ca open-source de un grup numit TeamPCP, permițând altor actori să reproducă tehnicile sale. Pe 1 iunie, un atac conex a compromis peste 30 de pachete din spațiul de nume npm oficial @redhat-cloud-services al Red Hat, afectând 96 de versiuni de pachete descărcate de peste 116.000 de ori pe săptămână. Red Hat a confirmat compromiterea, dar a precizat că niciun sistem de producție orientat către clienți nu a fost afectat.
StepSecurity a descris tehnica binding.gyp ca permițând viermelui să se răspândească „precum un vierme” în întregul registru, ocolind instrumentele de securitate convenționale și compromițând zeci de pachete din mai multe conturi de întreținători.
IronWorm deschide un al doilea front
Agravând și mai mult îngrijorările, pe 3 iunie a fost dezvăluită o campanie separată numită IronWorm. Descoperit de JFrog, IronWorm este scris în Rust, implementează un rootkit de kernel eBPF și comunică prin Tor. Vizează 86 de variabile de mediu și 20 de fișiere cu credențiale și, la fel ca Miasma, se autopropagă prin publicarea de versiuni de pachete troianizate folosind credențiale npm furate. Atacul a provenit dintr-un cont compromis numit „asteroiddao” și a infectat 36 de pachete.
Sonatype a îndemnat organizațiile care au instalat versiunile afectate să trateze mediile lor ca fiind compromise, să rotească imediat toate credențialele și să auditeze depozitele pentru commituri neautorizate.
Surse:
https://www.sonatype.com/blog/new-shai-hulud-miasma-wave-hits-hundreds-of-npm-packages
https://www.ox.security/blog/new-npm-supply-chain-attack-redhat-cloud-services-compromised
Malicious binding.gyp Campaign Targets npm Packages Across Maintainer Accounts