编译：代码卫士
近日，多家安全厂商都在提醒用户注意以类似Shai-Hulud 攻击手段，针对 npm 注册表的第二轮供应链攻击活动。
这起新的供应链攻击活动被称为 “Sha1-Hulud”。多家媒体报道称它已攻陷数百个 npm 包（Wiz 报道约为700个），并在2025年11月21日至23日期间将这些木马版本上传到 npm 。
Wiz 公司的研究人员表示，“这起攻击引入一个在预安装阶段就执行恶意代码的新变体，大大增加了在开发者环境和CI/CD流水线构建和运行时环境中暴露的可能性。”
和2025年9月被发现的 Shai-Hulud 攻击一样，这起新的攻击活动也在 GitHub 上发布了被盗机密信息，且这次还增加了仓库说明：“Sha1-Hulud: 第二轮已来”。第一波攻击涉及攻陷合法包，推送恶意代码，通过 TruffleHog 的凭据扫描器查询开发人员机器上的机密信息并将它们发送到受控的外部服务器。被感染的变体也能够以自我复制的方式，重新发布到受陷维护人员所拥有的其它npm包中进行传播。
在最新的攻击活动中，攻击者被指在 package.json 文件中增加了一个预安装脚本 (“setup_bun.js”)，以便悄悄安装或定位 Bun 运行时并运行一个捆绑的恶意脚本 (“bun_environment.js”)。该恶意payload 通过两个不同的工作流按顺序执行如下操作：
将受感染机器注册为名为 “SHA1HULUD” 的自托管运行器，并加入包含一个注入漏洞的工作流 .github/workflows/discussion.yaml，在自托管运行器上运行。这就使攻击者能够在 GitHub 仓库中打开讨论，在受感染机器上执行任意命令。
提取 GitHub 机密部分定义的所有机密并将它们作为一个制品写入窃取仓库中的文件 “actionsSecrets.json”中，之后将其下载到受陷机器中，工作流随后被删除以隐藏痕迹。
研究人员提到，“执行时，该恶意软件下载并运行 TruffleHog 扫描本地机器，窃取敏感信息如 NPM Tokens、AWS/GCP/Azure 凭据以及环境变量。”
Wiz 公司表示已经在约350个唯一用户中间发现了超过2.5万个受影响仓库，在过去的几小时内，每隔30分钟就会新增1000个仓库。多个热门项目受影响，包括 Zapier、ENS Domains、 PostHog 和 Postman等，导致 GitHub 仓库中充斥着受害者的数据。该公司提到，“这起攻击活动仍然延续着 Shai-Hulud 命名和技术的 npm 供应链攻击方法，尽管可能涉及不同的人员。该威胁利用受陷的维护人员账户发布合法 npm 包的木马版本，在安装过程中盗取凭据并盗取代码。”
Koi 安全公司认为第二轮攻击更加激进，恶意软件如无法认证或建立可持久性，就会尝试破坏受害者的整个主页目录，其中包括当前用户主页文件夹下的可写文件。然而，这种擦除功能仅在恶意软件满足如下条件时才会触发：
无法在 GitHub 上进行身份验证
无法创建 GitHub 仓库
无法提取 GitHub 令牌
无法发现 npm 令牌
研究人员提到，“换句话说，如果 Sha1-Hulud 无法窃取凭据、获取令牌或者保护窃取通道，则默认实施灾难性的数据破坏操作。这是对第一轮攻击的重大升级，攻击者从单纯的数据盗取升级到了惩罚性的蓄意破坏。”
该恶意软件获取根权限的方法是执行一个 Docker 命令，将主机的根文件系统挂载到提权的容器，目的是复制恶意 sudoers 文件，使攻击者获得对受陷用户的无密码根访问权限。
组织机构应扫描所有端点，查看是否存在受感染包，删除受陷版本，更改所有凭据，通过查看 .github/workflows/ 中的可疑文件如 shai-hulud-workflow.yml 或异常分支找到可持久机制。
原文链接
https://thehackernews.com/2025/11/second-sha1-hulud-wave-affects-25000.html
声明：本文来自代码卫士，版权归作者所有。文章内容仅代表作者独立观点，不代表安全内参立场，转载目的在于传递更多信息。如有侵权，请联系 anquanneican@163.com。
