Alerta Crítico: Worm Shai-Hulud Comprometer Mais de 1.280 Pacotes npm em Ataque Sofisticado

A nova variante do worm Shai-Hulud intensifica os ataques à cadeia de suprimentos de software, mirando o ecossistema npm com uma estratégia mais direta e devastadora. O ataque atual comprometeu mais de 1.280 pacotes, incluindo o popular Keyv, que sozinho tem milhões de downloads semanais. A invasão acontece por meio da injeção de commits maliciosos em repositórios, aproveitando o sequestro de pipelines do GitHub Actions, que usa o processo de liberação legítimo para publicar as versões envenenadas.

Uma vez instalado, o pacote infectado executa um hook de pré-instalação que baixa o Bun versão 1.3.13. Este, por sua vez, lança um payload ofuscado, o arquivo Math_Symbol.js, que vasculha o sistema em busca de credenciais sensíveis. O malware visa tokens de autenticação npm, credenciais do GitHub, chaves da AWS, segredos do Kubernetes, tokens do HashiCorp Vault e chaves privadas, para citar alguns. A capacidade de usar os próprios sistemas de CI/CD para propagar o ataque e a exfiltração agressiva de credenciais em ambientes de nuvem mostram a sofisticação da ameaça.

Em comparação com campanhas anteriores do Shai-Hulud, esta nova variante demonstra uma evolução preocupante no vetor de ataque. Anteriormente, em 13 de maio de 2026, o CEVIU News reportou uma variante que infectava pacotes npm via um ataque de "Pwn Request" combinado com envenenamento de cache do GitHub Actions e extração de tokens OIDC. Já a campanha "Mini Shai-Hulud", noticiada em 20 de maio de 2026, também tinha suas peculiaridades. A novidade agora é o comprometimento direto de contas de desenvolvedores no GitHub, permitindo a injeção de commits maliciosos nas branches principais. Isso faz com que as versões envenenadas passem pelo fluxo de trabalho normal de publicação, levando informações de proveniência válidas, o que aumenta a dificuldade de detecção por métodos tradicionais.

Este ataque é um alerta crítico para a segurança da cadeia de suprimentos de software. A validade da proveniência do pacote npm não garante que o código-fonte seja seguro. Com mais de 1.280 pacotes e bilhões de downloads mensais combinados, o risco de violação de dados é imenso. Organizações que utilizam qualquer uma das versões afetadas de pacotes npm devem considerar seus sistemas comprometidos, pois o malware visa credenciais de infraestrutura crítica como AWS e Kubernetes. Ignorar este incidente significa expor-se a um vazamento de dados que pode ter consequências financeiras e operacionais severas.