Hack Alerta

Sha1‑Hulud ressurge e compromete 800+ pacotes npm e dezenas de milhares de repositórios

A variante “The Second Coming” do Sha1‑Hulud comprometeu 800+ pacotes npm e criou ~26.300 repositórios GitHub para armazenar segredos exfiltrados; a campanha usa o runtime Bun para evasão e inclui um wiper que apaga o diretório home se não conseguir exfiltrar dados.

Uma nova onda do malware de cadeia de suprimentos Sha1‑Hulud, autodenominada “The Second Coming” pelos seus operadores, comprometeu mais de 800 pacotes npm e criou dezenas de milhares de repositórios GitHub para o armazenamento de credenciais roubadas, segundo reportagens do Cyber Security News com base em análises de Aikido Security e outros pesquisadores.

O que os pesquisadores observaram

A campanha afeta dependências usadas por organizações como AsyncAPI, Postman, PostHog, Zapier e ENS, atingindo um ecossistema de cerca de 132 milhões de downloads mensais conforme estimativas presentes no relato. Pesquisadores encontraram aproximadamente 26.300 repositórios expostos usados pelo ator para centralizar segredos exfiltrados.

Táticas e técnica de evasão

Essa variante instala o runtime Bun (ao invés do caminho padrão Node.js) por meio de um arquivo setup_bun.js para executar o payload principal (bun_environment.js), estratégia que facilita evasão de ferramentas tradicionais de análise estática e de pipelines que assumem Node.js. Após ativação, a ameaça usa TruffleHog para varrer o ambiente em busca de chaves e tokens e cria repositórios com nomes aleatórios para armazenar segredos.

Componente destrutivo

Uma evolução preocupante nesta versão é um mecanismo de fallback destrutivo: se o malware não conseguir persistir ou autenticar em serviços como GitHub/NPM para exfiltrar segredos, ele executa uma rotina wiper que tenta apagar o diretório home do usuário, removendo arquivos graváveis de sua propriedade. Essa mudança sugere intenção dupla — roubo massivo de credenciais com potencial de causar destruição de dados se frustrado.

Alvos e impacto

Pacotes pertencentes a infraestruturas críticas de desenvolvimento — CLIs, SDKs e bibliotecas de integração — foram afetados, aumentando o risco de contaminação transitiva em ambientes de desenvolvimento e CI/CD. A amplitude (centenas de pacotes e dezenas de milhares de repositórios) gera vetor de ataque em larga escala para projetos que consomem dependências comprometidas.

Recomendações para defender cadeias de suprimento

  • Auditar dependências em repositórios e pipelines para identificar arquivos com indicadores (setup_bun.js, bun_environment.js) e indicadores associados a Sha1‑Hulud;
  • Rotacionar todas as credenciais e tokens que possam ter sido expostos em repositórios públicos ou em sistemas CI/CD;
  • Habilitar verificações de integridade de pacotes, utilizar locks (shrinkwrap, lockfiles) e políticas de dependência que bloqueiem atualizações automáticas sem revisão;
  • Monitorar criação de repositórios e comunicações para sinais de armazenamento de segredos e executar revisão de segredos via scanners como TruffleHog internamente.

O que falta saber

As matérias divulgadas não quantificam exata e publicamente a base de usuários comprometidos nem indicam atribuição a um ator específico. Pesquisadores destacam a possibilidade de relação temporal com a revogação programada de tokens clássicos do npm, prevista para 9 de dezembro de 2025, mas não há confirmação pública de motivação além do comportamento observado.

Fontes

Relatórios de Aikido Security e análises compiladas por Cyber Security News.


Baseado em publicação original de Cyber Security News
Publicado pela Redação Hack Alerta com base em fontes externas citadas e monitoramento editorial do Hack Alerta. Para decisões técnicas, operacionais ou jurídicas, confirme sempre os detalhes na fonte original.