Shai-Hulud diventa più cattivo: elimina file se non trova niente da rubare

La società di sicurezza informatica Kaspersky ha pubblicato l'analisi di Shai Hulud 2.0, l'evoluzione del worm che sfrutta l’ecosistema npm per diffondersi e colpire sviluppatori e aziende. La prima versione di Shai Hulud era emersa a settembre, ma la nuova variante aggiunge una funzionalità più subdola: quando non sono disponibili informazioni o dati da rubare, il worm ricorre ad un modulo "wiper" che elimina i file presenti nella directory principale dell'utente.

L’obiettivo di Shai Hulud 2.0 rimane, come nella precedente versione, la raccolta sistematica di informazioni riservate. Il malware cerca token GitHub nelle variabili d’ambiente e nei file della GitHub CLI, crea workflow yml malevoli per intercettare segreti di GitHub Actions, e tenta di ottenere credenziali cloud interrogando i servizi di metadati di AWS, Azure e Google Cloud. Scarica inoltre TruffleHog per scansionare il filesystem alla ricerca di ulteriori credenziali.

L’esfiltrazione avviene tramite un repository GitHub pubblico creato con il token della vittima. Se il token non è disponibile, il malware cerca repository già compromessi con la descrizione “Sha1-Hulud: The Second Coming.” per recuperare credenziali rubate ad altri utenti. Il repository generato, con nome casuale di 18 caratteri, diventa il contenitore di tutti i dati sottratti.

Parallelamente, il worm tenta di replicarsi infettando a sua volta pacchetti npm: scansiona file .npmrc alla ricerca di token validi, li verifica tramite l’endpoint /-/whoami e, se ottiene conferma, modifica fino a un centinaio di pacchetti mantenuti dalla vittima. Inserisce i propri script tramite bundleAssets, aggiorna la versione e ripubblica il pacchetto compromesso sul registry.

Se non riesce né a ottenere un token npm né a recuperare credenziali GitHub utilizzabili, il malware si "indispettisce" e passa alla distruzione dei dati, cancellando principalmente file nella home directory.

Kaspersky rileva la famiglia come HEUR:Worm.Script.Shulud.gen. Dall’inizio della campagna a oggi, sono stati bloccati oltre 1700 attacchi: il 18,5% in Russia, il 10,7% in India e il 9,7% in Brasile, con vittime distribuite in tutto il mondo tra sviluppatori individuali e organizzazioni. Kaspersky continua a monitorare l’attività attraverso il proprio feed dedicato alle minacce legate all’open source, che include l’elenco completo dei pacchetti compromessi e di altri componenti che presentano comportamenti sospetti o capacità non dichiarate.

Questo tipo di minaccia mostra quanto l’ecosistema open-source, pur essendo essenziale per lo sviluppo moderno, rimanga un terreno esposto a compromissioni mirate che sfruttano la fiducia implicita negli strumenti e nei flussi di lavoro quotidiani.