Shai-Hulud 2.0: Supply-chain атака компрометира над 25 000 GitHub репозитории

hai-Hulud 2.0: Supply-chain атака компрометира над 25 000 GitHub репозитории

Разследвания на Wiz, Sysdig и други екипи разкриват нова вълна от supply-chain атаки, известна като Shai-Hulud 2.0 / Sha1-Hulud, насочена към npm екосистемата, GitHub и CI/CD процеси. Атаката разпространява зловреден код чрез компрометирани пакети и цели извличане на чувствителна информация като токени, ключове и конфигурационни файлове.

Какво се случи

• Публикувани са фалшиви npm пакети, които имитират легитимни библиотеки.

• Зловреден код се изпълнява чрез preinstall lifecycle скриптове — потвърдено от Wiz и Sysdig.

• Атаката инжектира GitHub Actions workflows, които събират данни и ги изпращат към инфраструктурата на нападателите (The Hacker News).

• Self-replicating механизъм: заразените репозитории автоматично създават нови зловредни репозитории (Wiz).

Факти и обхват

• Над 25 000 GitHub репозитории съдържат следи от атаката или са създадени като част от кампанията (Wiz, Sysdig).

• Кампанията използва около 350 GitHub акаунта за публикуване на заразени пакети и репозитории (Wiz).

• Идентифицирани са стотици зловредни npm пакети — източниците варират между 600–700+ (SafeDep, Wiz).

• Скорост на разпространение: до ~1000 нови репозитория на всеки 30 минути (Wiz).

Влияние върху бизнеса

• Кражба на GitHub токени и облачни креденшъли → риск от неоторизиран достъп (Wiz, THN).

• Риск от компрометирани build процеси чрез инжектирани зависимости (Sysdig).

• Потенциал за разпространение през developer среди и CI/CD pipelines.

• Supply-chain вектор, засягащ доверените компоненти на разработката.

Защо е важно

Shai-Hulud 2.0 използва високорискови канали:

• npm зависимости

• автоматични lifecycle скриптове

• GitHub Actions workflows

• CI/CD процеси

• developer workstations

Атаката прониква „отвътре“ — през инструменти, които разработчиците използват ежедневно.

Позицията на DIAMATIX

След публикуваните анализи и индикатори от изследователските екипи, ДИАМАТИКС извърши вътрешни проверки и верификации в средите на своите клиенти.

Всички клиенти на ДИАМАТИКС са проверени и са в безопасност.
Не са открити компрометирани системи, експозиции или индикатори за атака в защитените среди.

Продължаваме да следим ситуацията отблизо и поддържаме проактивна бдителност във всички защитавани инфраструктури.

Заключение

Shai-Hulud 2.0 е една от най-мащабните npm supply-chain атаки досега. Контролът над зависимостите, мониторингът на CI/CD процеси и защитата на разработчиците са критични за устойчивостта на организациите. ДИАМАТИКС остава ангажиран да предоставя защита, която е доверена, иновативна и бдителна.

Trusted · Innovative · Vigilant.

Свържете се с DIAMATIX

Източници

• Wiz Research
• Sysdig
• SafeDep
• Docker
• The Hacker New