Кража токенов или уничтожение диска: Sha1-Hulud ставит ультиматум заражённым системам
Внедрение в инфраструктуру происходит настолько глубоко, что обычная чистка уже не гарантирует безопасность.
В экосистеме npm вновь фиксируется масштабная вредоносная активность. На этот раз речь идёт о второй волне атаки Shai-Hulud, которая повторяет логику сентябрьской кампании, но действует значительно агрессивнее. Инцидент быстро распространился по сообществу разработчиков, поскольку злоумышленники использовали привычные механизмы доставки вредоносного кода через доверенные пакеты и автоматические сценарии установки.
По данным сразу нескольких компаний, следящих за безопасностью цепочек поставок, включая Aikido, HelixGuard, Koi Security, Socket, Step Security и Wiz, неизвестная группа внедрила вредоносные изменения в сотни npm-пакетов, загруженных в период с 21 по 23 ноября 2025 года.
Встроенный в раздел preinstall файл заставляет систему незаметно устанавливать или искать среду Bun, после чего выполняется скрытый скрипт, инициирующий дальнейшие действия. Эта схема повторяет методы прошлой атаки, где целью было похищение секретов из окружения разработчиков и публикация данных в сторонние репозитории GitHub.
В ходе анализа выяснилось, что заражённые пакеты регистрируют локальную машину как самодельный runner под названием «SHA1HULUD». Далее в репозиторий добавляется workflow с уязвимостью внедрения команд, позволяющий злоумышленникам запускать произвольные операции на устройстве. Добавляется и этап с выгрузкой конфиденциальных данных: секреты из GitHub передаются в файл actionsSecrets.json, который затем скачивается обратно на скомпрометированную машину, а следы активности удаляются.
Дополнительно вредоносный код запускает утилиту TruffleHog, используя её для поиска токенов npm, ключей облачных платформ и других переменных окружения. На масштаб проблемы указывает оценка специалистов из Wiz — они подтверждают, что затронуто более 25 тысяч репозиториев, а число новых поражённых проектов растёт каждые полчаса. Вредоносные действия распространяются через скомпрометированные аккаунты мейнтейнеров, что делает атаку особенно опасной для открытой экосистемы.
Отдельная деталь вызывает особое беспокойство. По наблюдениям Koi Security, если вредоносному коду не удаётся получить доступ к GitHub или извлечь токены, он переходит к уничтожению данных. Под удар попадает домашний каталог пользователя, включая все доступные для записи файлы. Такой сценарий запускается только при невозможности аутентификации, но сам факт появления подобной функции говорит о серьёзном изменении тактики злоумышленников — от скрытого сбора данных к разрушительным действиям.
Также выявлен механизм повышения привилегий: через Docker создаётся привилегированный контейнер, в который монтируется корневая файловая система. Это позволяет подменить конфигурацию sudo и получить доступ без пароля. Подобный подход увеличивает риск закрепления угрозы и дальнейших манипуляций с системой.
Организациям рекомендуют незамедлительно проверить инфраструктуру на наличие скомпрометированных пакетов, удалить все подозрительные версии, провести ротацию токенов и просмотреть workflows в разделе .github для выявления неожиданных файлов или веток, связанных с семейством Sha1-Hulud. Это позволит ограничить распространение вредоносных сценариев, пока детали атаки продолжают уточняться.