Varios proveedores de seguridad están haciendo sonar la alarma sobre una segunda ola de ataques dirigidos al registro npm de una manera que recuerda al ataque Shai-Hulud.
La nueva campaña de la cadena de suministro, denominada Sha1-Huludha comprometido cientos de paquetes npm, según informes de Aikido, HelixGuard, Koi Security, Socket y Wiz. Los paquetes npm troyanizados se cargaron en npm entre el 21 y el 23 de noviembre de 2025.
«La campaña introduce una nueva variante que ejecuta código malicioso durante la fase de preinstalación, aumentando significativamente la exposición potencial en entornos de construcción y ejecución», dijeron los investigadores de Wiz Hila Ramati, Merav Bar, Gal Benmocha y Gili Tikochinski.
Al igual que el ataque Shai-Hulud que salió a la luz en septiembre de 2025, la última actividad también publica secretos robados en GitHub, esta vez con la descripción del repositorio: «Sha1-Hulud: The Second Coming».
La ola anterior se caracterizó por el compromiso de paquetes legítimos para enviar código malicioso diseñado para buscar secretos en las máquinas de los desarrolladores utilizando el escáner de credenciales de TruffleHog y transmitirlos a un servidor externo bajo el control del atacante.
Las variantes infectadas también tenían la capacidad de propagarse de manera autorreplicante al volver a publicarse en otros paquetes npm propiedad del mantenedor comprometido.
En el último conjunto de ataques, se descubrió que los atacantes agregaban un script de preinstalación («setup_bun.js») en el archivo package.json, que está configurado para instalar o localizar de manera sigilosa el tiempo de ejecución de Bun y ejecutar un script malicioso incluido («bun_environment.js»).
La carga útil maliciosa lleva a cabo la siguiente secuencia de acciones a través de dos flujos de trabajo diferentes:
- Registra la máquina infectada como un ejecutor autohospedado llamado «SHA1HULUD» y agrega un flujo de trabajo llamado .github/workflows/discussion.yaml que contiene una vulnerabilidad de inyección y se ejecuta específicamente en ejecutores autohospedados, lo que permite al atacante ejecutar comandos arbitrarios en las máquinas infectadas abriendo discusiones en el repositorio de GitHub.
- Exfiltra los secretos definidos en la sección de secretos de GitHub y los carga como un artefacto, después de lo cual se descarga y luego elimina el flujo de trabajo para ocultar la actividad.
«Tras la ejecución, el malware descarga y ejecuta TruffleHog para escanear la máquina local, robando información confidencial como tokens NPM, credenciales de AWS/GCP/Azure y variables de entorno», señaló Helixuard.
Wiz dijo que detectó más de 25.000 repositorios afectados en aproximadamente 350 usuarios únicos, y que se agregaron constantemente 1.000 nuevos repositorios cada 30 minutos en las últimas horas.
«Esta campaña continúa la tendencia de compromisos de la cadena de suministro del npm que hacen referencia a los nombres y el oficio comercial de Shai-Hulud, aunque puede involucrar a diferentes actores», dijo Wiz. «La amenaza aprovecha las cuentas de mantenimiento comprometidas para publicar versiones troyanizadas de paquetes npm legítimos que ejecutan robo de credenciales y código de exfiltración durante la instalación».
Koi Security calificó la segunda ola como mucho más agresiva y agregó que el malware intenta destruir todo el directorio de inicio de la víctima si no logra autenticarse o establecer persistencia. Esto incluye todos los archivos grabables propiedad del usuario actual en su carpeta de inicio. Sin embargo, esta funcionalidad similar a un limpiador se activa solo cuando se cumplen las siguientes condiciones:
- No puede autenticarse en GitHub
- No puede crear un repositorio de GitHub
- No puede recuperar un token de GitHub
- No puede encontrar un token npm
«En otras palabras, si Sha1-Hulud no puede robar credenciales, obtener tokens o asegurar cualquier canal de exfiltración, por defecto realizará una destrucción de datos catastrófica», dijeron los investigadores de seguridad Yuval Ronen e Idan Dardikman. «Esto marca una escalada significativa con respecto a la primera ola, cambiando las tácticas del actor del puro robo de datos al sabotaje punitivo».
Para mitigar el riesgo que plantea la amenaza, se insta a las organizaciones a escanear todos los puntos finales en busca de la presencia de paquetes afectados, eliminar las versiones comprometidas con efecto inmediato, rotar todas las credenciales y auditar los repositorios en busca de mecanismos de persistencia revisando .github/workflows/ en busca de archivos sospechosos como shai-hulud-workflow.yml o ramas inesperadas.
(Esta es una historia en desarrollo y se actualizará a medida que surjan nuevos detalles).