新型npm GitHub蠕虫的攻击机制与防御策略

Sha1-Hulud：新型npm GitHub蠕虫的再次来袭

Sha1-Hulud带着其供应链攻击的新变种卷土重来，这次攻击通过Node Package Manager (npm) 针对开发环境。npm是Node.js非常流行的包管理器，为JavaScript开发者提供了数百万个预先开发好的代码包。

根据现有信息，可以确认我们没有受到任何影响或暴露。作为值得信赖的安全合作伙伴，我们正为客户和合作伙伴保持高度警惕，并监控任何可疑活动。如果有新的信息改变了此评估，我们将直接提供更新。

这次攻击活动通过植入恶意代码来劫持未受保护的npm包，当使用这些包的开发者更新到被劫持的版本时，恶意代码会自动执行。到目前为止，已确认有近1000个npm包被感染，这反过来影响了数万个代码仓库。

首次攻击活动

早在2025年9月，Sha1-Hulud就发动了首次针对npm包的攻击。通过将特洛伊木马代码插入数百个未受保护的npm包中，这些包在所有依赖它们的开发环境中被自动“更新”。该恶意软件有两个主要组成部分：一个凭证窃取器和一个允许蠕虫行为传播的组件。

再次来袭

本周发现的最新攻击活动在原有基础上进行了多方面的扩展。除了凭证捕获和传播工具外，这次新活动还增加了一个惩罚性的“自毁”功能。它同时增加了跨平台支持，可在Linux、macOS和Windows上运行，并滥用GitHub Actions以实现远程代码执行能力。

安装与凭证捕获

受感染的npm包在package.json中包含一个名为setup_bun.js的预安装脚本。此加载程序脚本试图通过假装安装Bun JavaScript运行时来隐藏其行为。setup_bun.js随后会执行bun_environment.js，这也是一个嵌入在受感染包中的、经过混淆的10MB文件。

凭证捕获组件会搜索特定文件，如npm和GitHub令牌、API密钥以及云凭证。它还使用TruffleHog扫描系统以寻找任何其他有用的凭证或会话令牌。随后，恶意软件会在受害者的GitHub账户下创建一个名为“Sha1-Hulud: The Second Coming”的公共仓库。所有外泄的文件都被转储到这个仓库中，标记了受影响的组织并使文件可被访问。而且不仅仅是威胁行为者可以访问，是任何人都可以公开访问。

蠕虫传播

Sha1-Hulud 2.0的另一个特性是感染任何新npm包的传播过程。它利用在凭证捕获期间发现的npm令牌，下载受害者维护的所有包。然后将setup_bun.js和bun_environment.js插入这些包中，并以递增的版本号重新发布。这将触发所有使用该包的开发环境的自动更新。

惩罚性自毁功能

如果受害者发现入侵并试图切断恶意软件的访问，恶意软件将尝试删除受害者主目录中的所有文件。它不仅进行简单的删除。在Windows上，恶意软件还会覆盖磁盘扇区；在Xnix系统上，它使用shred命令。这使得文件恢复的可能性大大降低。

利用GitHub Actions执行远程代码

另一个新特性是Sha1-Hulud 2.0如何使用GitHub Actions在受害者的系统上执行他们想要的任何代码。恶意软件在受害者的账户下创建一个启用了公共讨论的公共仓库。然后，恶意软件创建一个名为~/.dev-env/的隐藏目录，在其中安装GitHub Actions运行器，并上传一个名为.github/workflows/discussion.yaml的恶意工作流YAML文件。此YAML文件将仓库中的任何讨论帖子解释为要在本地执行的命令。由于讨论论坛是公开的，任何人都可以在讨论中发布类似powershell -noexit "& ""C:\My Scripts\MyEvilScript.ps1"""的内容，并在受害者的系统上执行。

缓解措施

• 持续进行与相关威胁指标（IoCs）相关的威胁狩猎，以发现任何活跃的入侵，特别是在您的开发和CI/CD系统中。
• 暂时冻结任何npm包的更新，直到更好地了解此攻击活动的全部范围。
• 假设恶意软件的存在意味着该系统上的所有凭证都已泄露，并相应地重置凭证。
• 重新审视您的供应链安全策略，包括盘点和审计第三方供应商，以及记录您的组织可能因这些关系而面临的风险。

威胁指标（IoCs）

bun_environment.js

• 62ee164b9b306250c1172583f138c9614139264f889fa99614903c12755468d0 SHA256
• f099c5d9ec417d4445a0328ac0ada9cde79fc37410914103ae9c609cbc0ee068 SHA256
• cbb9bc5a8496243e02f3cc080efbe3e4a1430ba0671f2e43a202bf45b05479cd SHA256

setup_bun.js

• a3894003ad1d293ba96d77881ccd2071446dc3f65f434669b49b3da92421901a SHA256