O que os pesquisadores observaram
A campanha afeta dependências usadas por organizações como AsyncAPI, Postman, PostHog, Zapier e ENS, atingindo um ecossistema de cerca de 132 milhões de downloads mensais conforme estimativas presentes no relato. Pesquisadores encontraram aproximadamente 26.300 repositórios expostos usados pelo ator para centralizar segredos exfiltrados.
Táticas e técnica de evasão
Essa variante instala o runtime Bun (ao invés do caminho padrão Node.js) por meio de um arquivo setup_bun.js para executar o payload principal (bun_environment.js), estratégia que facilita evasão de ferramentas tradicionais de análise estática e de pipelines que assumem Node.js. Após ativação, a ameaça usa TruffleHog para varrer o ambiente em busca de chaves e tokens e cria repositórios com nomes aleatórios para armazenar segredos.
Componente destrutivo
Uma evolução preocupante nesta versão é um mecanismo de fallback destrutivo: se o malware não conseguir persistir ou autenticar em serviços como GitHub/NPM para exfiltrar segredos, ele executa uma rotina wiper que tenta apagar o diretório home do usuário, removendo arquivos graváveis de sua propriedade. Essa mudança sugere intenção dupla — roubo massivo de credenciais com potencial de causar destruição de dados se frustrado.
Alvos e impacto
Pacotes pertencentes a infraestruturas críticas de desenvolvimento — CLIs, SDKs e bibliotecas de integração — foram afetados, aumentando o risco de contaminação transitiva em ambientes de desenvolvimento e CI/CD. A amplitude (centenas de pacotes e dezenas de milhares de repositórios) gera vetor de ataque em larga escala para projetos que consomem dependências comprometidas.
Recomendações para defender cadeias de suprimento
- Auditar dependências em repositórios e pipelines para identificar arquivos com indicadores (setup_bun.js, bun_environment.js) e indicadores associados a Sha1‑Hulud;
- Rotacionar todas as credenciais e tokens que possam ter sido expostos em repositórios públicos ou em sistemas CI/CD;
- Habilitar verificações de integridade de pacotes, utilizar locks (shrinkwrap, lockfiles) e políticas de dependência que bloqueiem atualizações automáticas sem revisão;
- Monitorar criação de repositórios e comunicações para sinais de armazenamento de segredos e executar revisão de segredos via scanners como TruffleHog internamente.
O que falta saber
As matérias divulgadas não quantificam exata e publicamente a base de usuários comprometidos nem indicam atribuição a um ator específico. Pesquisadores destacam a possibilidade de relação temporal com a revogação programada de tokens clássicos do npm, prevista para 9 de dezembro de 2025, mas não há confirmação pública de motivação além do comportamento observado.
Fontes
Relatórios de Aikido Security e análises compiladas por Cyber Security News.