Shai-Hulud:npm 與 PyPI 的自我擴散蠕蟲攻擊活動

怎麼進來的:最初怎麼取得發布權限沒有定論;各家只確認維護者的帳號或權杖遭盜用。Wiz 研判與 2025 年 8 月的 Nx 事件相關,屬推測。

做了什麼:postinstall 執行 bundle.js:讀取環境變數、用 TruffleHog 掃描檔案系統、查詢雲端中繼資料與密鑰服務,把結果上傳到受害者帳號下名為 Shai-Hulud 的公開 repo,並植入 shai-hulud-workflow.yml 持續外洩。

規模(各家數字不同): 最初有 40 多個套件受影響(Socket [31]);9 月 16 日更新：將近 500 個套件，包含 CrowdStrike 的套件(Socket [31]);500 個以上的套件(StepSecurity [51]);列出 195 個套件及其版本(StepSecurity [51]);發文時有 187 個以上的套件，預期還會增加(Semgrep [22]);內文寫超過 100 個套件(Wiz [58]);附錄列出約 200 多個套件名稱、200 多個版本(Wiz [58]);最初 40 個（引用 Socket/StepSecurity），另外又有「147 個以上」；是否代表總共 187 個未經證實(Aikido Security [38]);從 npm 移除了 500 個以上遭入侵的套件(GitHub [3]);超過 500 個套件(CERT/CC [47])

歸因: 研判這波攻擊「直接承接」2025 年 8 月底的 s1ngularity/Nx 入侵事件（屬於研判，沒有給出信心程度）(Wiz [58]);文章標題把這一波和 s1ngularity/Nx 的攻擊者連在一起，並說攻擊者沿用了 Nx 事件的大部分手法；Aikido 認為「Shai-Hulud」這個名字是攻擊者自己取的，沒有把它歸咎於任何特定組織(Aikido Security [38]);以「中等信心」認為攻擊者用了大型語言模型（LLM）協助寫程式，根據是 bash 腳本裡的註解和表情符號；這不是在指認特定攻擊者(Palo Alto Networks Unit 42 [35])

怎麼進來的:以 PostHog 為例:攻擊者利用 pull_request_target 工作流程的設定錯誤,偷到機器人帳號的 GitHub 權杖,再改寫流程取得發布權限。

做了什麼:setup_bun.js 下載 Bun,在背景執行混淆的 bun_environment.js:蒐集環境變數、.npmrc、雲端憑證與 GitHub 權杖,編碼後放進新建的公開 repo,再感染受害者的其他套件;取不到權杖時可能刪除家目錄。

規模(各家數字不同): 796 個不重複的 npm 套件(Datadog Security Labs [21]);1,092 個套件版本(Datadog Security Labs [21]);約 700 個 npm 套件（附錄中寫的是「800+」）(Wiz [57]);492 個套件(Aikido Security [40]);795 個 npm 套件(ReversingLabs [50]);撰文當時「超過 70 個」套件(StepSecurity [53]);500 個以上套件(Socket [30]);700 個以上版本(Socket [30]);830 個以上 npm 套件(The Hacker News [32]);1 個 Maven 套件（org.mvnpm:posthog-node:4.18.1），報導當時唯一受影響的 Java 套件(The Hacker News [32]);PostHog 有 8 個 JavaScript 套件遭入侵(PostHog [12]);「Golden Path」改版：1 個套件（@vietmoney/react-big-calendar），未見明顯擴散(Aikido Security [39])

歸因: 目前沒有任何已確認的歸屬（不知道是誰做的）。(Wiz [57]);12 月的「Golden Path」改版的程式碼是重新混淆過的，而不是直接修改現成的程式碼，所以 Aikido 認為「極不可能是模仿者」，比較可能是原本的攻擊者所為。這是研究人員的判斷，不是已確認的歸屬。(Aikido Security [39])

怎麼進來的:SAP:一名開發者的 GitHub 帳號被盜,攻擊者修改非主要分支上的發布工作流程換取 npm 權杖。Lightning:可能是專案層級的 PyPI 權杖外洩,未證實。

做了什麼:安裝或匯入時執行,偷取開發者與 CI 環境的憑證,並在能寫入的 GitHub repo 植入檔案與工作流程繼續擴散。

規模(各家數字不同): SAP 事件：4 個惡意版本（@cap-js/sqlite@2.2.2、@cap-js/postgres@2.2.2、@cap-js/db-service@2.10.1、mbt@1.2.48）(BleepingComputer [41]);@cap-js 套件合計每月約 100 萬次下載，mbt 約 20 萬次(SafeDep [16]);SAP 那一波有超過 1,000 個 GitHub 儲存庫被植入惡意檔案(SafeDep [16]);PyPI 套件 lightning 有 2 個惡意版本（2.6.2、2.6.3）(Socket [25])

歸因: Aikido 與 Socket 以「中等信心」將 SAP 事件連結到 TeamPCP，依據是與 Trivy、Checkmarx、Bitwarden 攻擊相似的程式碼和手法。(BleepingComputer (reporting Aikido and Socket) [41]);攻擊者在 Tor 網站上發布一則以「Team PCP」名義、有 PGP 簽章的訊息，聲稱 LAPSUS$ 也深度參與；Socket 未驗證簽章或這些關係，並認為這是和原始 Shai-Hulud 不同、但手法相似的攻擊者。(Socket [25]);將 Lightning 事件歸於 TeamPCP，並轉述 LAPSUS$ 的說法，未說明信心程度。(The Hacker News [33])

規模(各家數字不同): 42 個套件、84 個惡意版本(TanStack [4])

歸因: 「Mini Shai-Hulud」的名稱與對 TeamPCP 的歸因(StepSecurity [52]);同一攻擊活動、同日另有其他套件受害(Wiz [56])

規模(各家數字不同): @antv 那一波：317 個套件、637 個版本（網址中寫的是 314）(SafeDep [17]);@antv 那一波：323 個套件、639 個版本(Socket [24]);整個攻擊活動合計：502 個套件、1,055 個版本（npm 498 個套件／1,048 個版本；PyPI 3／6；Composer 1）(Socket [24]);約 1,900 個用來存放偷來資料的 GitHub 儲存庫(Socket [24]);@antv 那一波：324 個套件、645 個版本（其中一名維護者帳號下 547 個套件有 318 個被入侵，另一個帳號 6 個）；合計每週約 1,600 萬次下載(OpenSourceMalware [6]);模仿者：4 個套件，合計每週 2,678 次下載(OX Security [49])

歸因: 將 @antv 那一波歸於 TeamPCP，但文中未提供信心程度或證據。(OpenSourceMalware [6]);因為運作方式相同，將 @antv 那一波歸入「Mini Shai-Hulud」攻擊活動，但沒有指名攻擊者。(Socket [24]);以高信心判斷 4 個模仿套件來自另一個攻擊者，而不是 TeamPCP，理由是混淆程度低，而且時間點和原始碼外洩、BreachForums 上的「供應鏈攻擊競賽」相符。(OX Security [49])

怎麼進來的:攻擊者控制了發布這些套件的 npm 帳號;最初怎麼入侵沒有公開說明。

做了什麼:preinstall 執行 ./tools/setup(Linux 程式),蒐集數十種雲端、AI 服務與 CI 憑證,並對能寫入的 GitHub repo 推送日期被改早的惡意 commit。

規模(各家數字不同): 33 筆惡意套件紀錄（依我們擷取的 OSV 快照）(OSV [10]);IoC 表列出 37 個「套件@版本」項目（內文沒有給總數）(JFrog Security Research [13]);9 個 GitHub 組織裡共有 57 個日期被改早的惡意 commit(JFrog Security Research [13]);活躍期間，被入侵帳號對私人專案有約 4,500 次貢獻(JFrog Security Research [13]);37 個套件、9 個組織、57 個日期被改早的 commit、約 4,500 次私人貢獻；並提醒公開數字只是下限(Phoenix Security [11]);43 個惡意套件，其中 37 個有列出名稱(SafeDep [19]);「超過 50 個」npm 套件(The Hacker News [34])

歸因: 操作者身分不明。對方有幾個操作安全上的失誤：把自己錢包的助記詞放進惡意程式的略過清單、留下 eBPF 建置路徑，也沒有移除除錯資訊。從助記詞推導出的以太坊地址幾乎沒有餘額。(JFrog Security Research [13]);「身分不明的攻擊者」，在操作上與 Shai-Hulud／TeamPCP 相近，但「沒有確認的身分重疊」。(Phoenix Security [11])

怎麼進來的:npm:攻擊者在 Red Hat 的 repo 建立惡意分支並改寫 CI 工作流程;受信任發布只核對 repo 與工作流程檔名,不檢查分支。PyPI:被接管的維護者帳號或外洩的 API 權杖。

做了什麼:安裝後(npm)或 Python 啟動時(PyPI)下載 Bun 執行竊取程式,蒐集開發者與雲端憑證、擴散到其他套件與 repo,並把資料放到公開 GitHub repo;是否會刪除檔案各家說法不一。

規模(各家數字不同): npm:32 個 @redhat-cloud-services 套件,共 96 個惡意版本(SafeDep [18]);上述套件來自 3 個 GitHub 程式庫:javascript-clients(15 個)、frontend-components(14 個)、platform-frontend-ai-toolkit(3 個)(SafeDep [18]);PyPI:19 個專案,共 37 個惡意 wheel 檔(Socket [29]);整個攻擊活動合計 448 個檔案(npm 106 個套件共 411 個,PyPI 19 個共 37 個);npm 數字是整體活動的總數,不代表 Red Hat 套件的數量(Socket [29]);整個攻擊活動合計 471 個檔案(npm 106 個套件共 411 個,PyPI 37 個套件共 60 個),其中包含 23 個較新的 PyPI 套件版本(Socket [27]);PyPI:30 個套件,共 36 個遭入侵版本(StepSecurity [54]);PyPI:6 個生物資訊套件,各有 1 個惡意版本(Endor Labs [46]);PyPI:5 個已確認的套件(O3 Security [5]);pantheon-agents:受影響版本為 0.6.1 和 0.6.2(OSV)(OSV [8]);pantheon-agents:GitLab 資料庫列出的影響範圍是 0.6.1 到 0.6.3,但它自己的說明只提到 0.6.1 和 0.6.2,兩者不一致(GitLab Advisory Database [2])

歸因: 歸因於 TeamPCP,並把此組織連結到 Shai-Hulud 2.0 和 LiteLLM 入侵事件,但文章中沒有提出證據(O3 Security [5]);只用一句話提到這是「TeamPCP 的作業安全強化」,沒有說明理由(Endor Labs [46]);根據手法重疊,認為這是 Miasma 威脅行為者的演進版本(StepSecurity [54]);認為歸屬不明:TeamPCP 已把 Shai-Hulud 公開為開源攻擊工具,還在 BreachForums 推廣競賽,所以可能有很多不同的人在發動類似攻擊(Socket [26]);從技術手法判斷與 Shai-Hulud / Miasma 屬於同一系列,但沒有指名攻擊者(Socket [29])

怎麼進來的:多家報告指出維護者的 GitHub 帳號被控制,惡意程式碼直接推到 main,再由原本的受信任發布流程正常發布;帳號怎麼被拿下未經證實。

做了什麼:preinstall 執行 setup.mjs 下載 Bun 與第二階段程式,偷取雲端、GitHub、npm 與 AI 工具的憑證,用偷來的權杖感染受害者能發布的其他套件,並安裝 gh-token-monitor 常駐。

規模(各家數字不同): 444 個套件名稱(SafeDep [15]);2,234 個遭植入惡意程式的版本(SafeDep [15]);12 個組織的憑證遭濫用(SafeDep [15]);@servicetitan：147 個套件、1,082 個版本(SafeDep [15]);@onereach／@or-sdk：155 個套件、487 個版本(SafeDep [15]);@ornikar：47 個套件、537 個版本(SafeDep [15]);@qlik／@nebula.js：59 個套件(SafeDep [15]);至少 444 個套件（8 月 5 日更新）(Aikido Security [36]);1,381 個版本（8 月 5 日更新）(Aikido Security [36]);約 1,300 個用來存放偷來資料的儲存庫(Aikido Security [36]);444 個套件(OX Security [48]);以標記字串找到 821 個儲存庫(OX Security [48]);超過 400 個套件(JFrog Security Research [14]);超過 1,700 個版本(JFrog Security Research [14]);384 個套件（8 月 4 日太平洋夏令時間 11:00 更新）(Endor Labs [45]);1,136 個版本（8 月 4 日太平洋夏令時間 11:00 更新）(Endor Labs [45]);三個最早遭入侵的套件每週下載量合計約 5.15 億次(Endor Labs [45]);超過 400 個套件，每月下載量超過 13 億次(Elastic Security Labs [44]);超過 1,300 個版本，每月下載量合計約 20 億次(Cyber Security Agency of Singapore [43]);10 個核心套件；下游 400 到超過 2,200 個（原文沒說清楚是套件還是版本）；「5 個確認的惡意版本」（原文措辭不明確）(Chainguard [42]);至少 10 個已確認的套件，清單仍在增加；每週下載量達數千萬次(Socket [28]);7 月下載量：keyv 6.197 億次、flat-cache 5.798 億次、file-entry-cache 5.712 億次(Snyk [23]);PlainCVE 的 OSV 快照中有 446 筆紀錄（2026-08-04 至 08-06 發布）(OSV / OpenSSF malicious-packages [9])

歸因: 手法和 Shai-Hulud「非常相似」，但沒有明確認定屬於哪個攻擊活動。(Socket [28]);這是「Mini」Shai-Hulud 的後代，程式碼大量來自 TeamPCP 公開的 Mini Shai-Hulud 開源儲存庫。這只說明程式碼的來源，不代表這次攻擊是 TeamPCP 發動的。(Wiz [55]);標記字串和利用 GitHub 儲存庫存放偷來資料的手法，與 2026 年 5 月的 TanStack 事件相同，但這個關聯只是「間接」證據。(SafeDep [15]);把 ChainDrop 視為 Shai-Hulud 家族的變種。(Cyber Security Agency of Singapore [43]);沒有人宣稱犯案，也沒有明確點名攻擊者；Chainguard 只在 5 月的 @antv 攻擊波提到 TeamPCP，並沒有把本次事件連到 TeamPCP。(Chainguard [42])