Mini Shai-Hulud供应链攻击导致600多个npm包被入侵

一场名为 Mini Shai-Hulud 的高级 npm 供应链攻击活动在网上一夜之间劫持了超过 600 个软件依赖包版本。安全研究机构 Socket 和 Endor Labs 在最新一波攻击中，已识别出涉及 323 个独立依赖包的 639 个受污染版本。

• 主要受害生态： 攻击大部分集中在 @antv 生态系统，同时 @lint-md、@openclaw-cn 和 @starmind 命名空间（Scope）下的依赖包也受到了波及。
• 攻击时间线： 恶意发布活动始于 UTC 时间 2026 年 5 月 19 日约 01:56，并一直持续到 02:56。
• 检测响应速度： Socket 的检测系统在恶意版本发布后 6 到 12 分钟内就对大部分活动进行了标记，其中值检测时间为 6.7 分钟。
• 源头追溯： Endor Labs 独立观测到在 UTC 01:39 至 02:06 之间出现的 42 个恶意包，并将该攻击活动的源头追溯到两个长期处于休眠状态的依赖包：jest-canvas-mock 和 size-sensor——这两个包均已超过三年未发布过任何新版本。
• 整体受灾规模： 截至目前，在研究人员跟踪的整个 Mini Shai-Hulud 攻击活动中，已确认在 502 个独立依赖包中存在 1,055 个受污染版本，跨越 npm（1,048 个版本）、PyPI（6 个版本）和 Composer（1 个版本）。

600+ npm 依赖包遭劫持机制分析

植入的恶意负载（Payload）在安装阶段通过 preinstall 生命周期钩子（Lifecycle Hook）触发执行：

"preinstall": "bun run index.js"

位于根目录的 index.js 文件利用字符串数组查找表和通过 globalThis 暴露的自定义解密器进行了高度混淆，并在依赖包安装时自动执行。

1. 数据外发与加密

恶意负载将窃取的数据外发至一个硬编码的 HTTPS 端点：

https://t[.]m-kosche[.]com:443/api/public/otel/v1/traces

为了防止网络流量监控（Network Telemetry）还原明文，攻击者采用了多层加密的高级手段：

• 收集到的数据先经 gzip 压缩。
• 使用 AES-256-GCM 算法 进行加密。
• 在传输前，使用 RSA-OAEP/SHA-256 算法 对 AES 密钥进行封装。

2. 凭据定向收割

该恶意负载针对开发者环境和 CI/CD 环境进行了极具攻击性的凭据窃取，收割的目标包括：

• GitHub 令牌、npm 令牌 以及 AWS 凭据（AWS_ACCESS_KEY_ID、AWS_SECRET_ACCESS_KEY、AWS_SESSION_TOKEN）
• Kubernetes 服务账户凭据（KUBECONFIG、KUBERNETES_SERVICE_HOST）
• Vault 令牌（VAULT_TOKEN、VAULT_AUTH_TOKEN）
• SSH/私钥、Docker 认证文件 以及 数据库连接字符串

该恶意软件还包含针对 18 个以上 CI/CD 平台的专项检测逻辑，其中包括 GitHub Actions、GitLab CI、CircleCI、Jenkins、Azure DevOps、AWS CodeBuild、Vercel、Netlify 和 Cloudflare Pages。

3. 创建凭据暂存库（仓库）

如果成功获取到可用的 GitHub 令牌，恶意负载就会在受害者的账户下创建新的代码仓库，并将窃取的数据提交到 results/results-<时间戳>-<计数器>.json 路径中。

目前，通过 GitHub 公开搜索可以发现大约有 1,900 个由攻击者创建的仓库。这些仓库使用了反转的攻击活动标记 niagA oG eW ereH :duluH-iahS（还原后为 “Shai-Hulud: Here We Go Again”），并配以《沙丘》主题的仓库名称（例如 sayyadina-stillsuit-852 和 atreides-ornithopter-112）。其中，代码仓库 Zaynex/sayyadina-stillsuit-852 已被确认为处于活跃状态的数据外发暂存库。

4. 蠕虫式自我传播

该蠕虫还会滥用窃取到的 npm 令牌来遍历受害者拥有维护权限的依赖包，随后注入恶意负载、提升版本号并重新发布，从而冒用合法维护者的身份在整个 npm 生态系统中实现蠕虫式的自我传播。

最新攻击浪潮中的三大新特征

Endor Labs 强调了本轮攻击中展现出的三种全新行为特征：

• 滥用 Sigstore 签名： 该蠕虫现在会在运行时调用 Fulcio 和 Rekor，以获取合法的签名证书和透明度日志条目。这导致即便存在恶意的构建链，供应链合规检测工具（Provenance Tooling）依然会错误地显示代表安全的绿色徽章（Green Badge）。
• 专门针对休眠账户： 像 jest-canvas-mock、size-sensor 和 timeago.js（已休眠 3 至 10 年不等）这类老旧依赖包被用作切入点，因为历史久远的账户往往更不容易引发安全审计的警觉。
• 单一令牌接管整个命名空间： 目前已确认至少有 37 个 @antv/* 依赖包受到污染，这高度吻合“某一个泄露的令牌拥有该完整命名空间发布权限”的特征。

被入侵的列表及其版本清单

威胁情报ioc

文件指标

依赖/注册表指标

网络指标

代码标记(在嵌入式有效载荷中)

Git / GitHub 指标

缓解措施

查找有效载荷文件并提交参考文献:

# Check for phantom commit hashes in lockfile
grep -r "1916faa365f2788b6e193514872d51a242876569\|7cb42f57561c321ecb09b4552802ae0ac55b3a7a" \
  package-lock.json node_modules/ 2>/dev/null

# Check for @antv/setup
ls node_modules/@antv/setup 2>/dev/null

# Find anomalous large index.js at package root level
find node_modules -maxdepth 2 -name "index.js" -size +400k 2>/dev/null

寻找持久性标志物:

find . -path "*/.claude/settings.json" | xargs grep -l "SessionStart" 2>/dev/null
find . -path "*/.vscode/tasks.json" | xargs grep -l "folderOpen" 2>/dev/null
find . -path "*/.github/workflows/format-check.yml" 2>/dev/null

立即审计所有最近更新的 @antv/*、@lint-md、@openclaw-cn 以及 @starmind 依赖包。

立即轮换（重置）任何在 CI/CD 环境中泄露的 GitHub 令牌、npm 令牌、AWS 凭据以及 Vault 令牌。

切勿完全依赖 Sigstore 的供应链合规徽章（Provenance Badges）来作为判断依赖包完整性（安全性）的唯一指标。

密切监控 npm install 的日志，排查是否存在异常的、调用了 bun 的 preinstall 脚本。

在网络边界阻断所有前往 t[.]m-kosche[.]com 的外发连接。

任何运行了受影响依赖包的企业或组织，应将所有暴露的凭据均视为已完全失陷，并应立即启动突发事件应急响应流程（Incident Response）。

mini-shai-hulud-npm-attack