VietNetwork.Vn

Nhiều nhà cung cấp bảo mật đang gióng lên hồi chuông cảnh báo về làn sóng tấn công thứ hai nhắm vào sổ đăng ký npm theo cách tương tự như cuộc tấn công Shai-Hulud.

Theo báo cáo từ Aikido, HelixGuard, Koi Security, Socket, Step Security và Wiz, chiến dịch chuỗi cung ứng mới, được gọi là Sha1-Hulud, đã xâm phạm hàng trăm gói npm. Các gói npm bị trojan hóa đã được tải lên npm từ ngày 21 đến 23 tháng 11 năm 2025.


Các nhà nghiên cứu của Wiz gồm Hila Ramati, Merav Bar, Gal Benmocha và Gili Tikochinski cho biết: "Chiến dịch này giới thiệu một biến thể mới có khả năng thực thi mã độc trong giai đoạn cài đặt trước, làm tăng đáng kể khả năng bị tấn công trong môi trường xây dựng và thời gian chạy".

Giống như cuộc tấn công Shai-Hulud bị phát hiện vào tháng 9 năm 2025, hoạt động mới nhất này cũng công bố các bí mật bị đánh cắp lên GitHub, lần này với mô tả kho lưu trữ: "Sha1-Hulud: The Second Coming".

Làn sóng trước đó được đặc trưng bởi sự xâm nhập của các gói hợp pháp để đẩy mã độc được thiết kế để tìm kiếm bí mật trên máy tính của nhà phát triển bằng trình quét thông tin xác thực của TruffleHog và truyền chúng đến máy chủ bên ngoài do kẻ tấn công kiểm soát.

Các biến thể bị nhiễm cũng có khả năng tự sao chép bằng cách tự xuất bản lại vào các gói npm khác do người bảo trì bị xâm phạm sở hữu.

Trong loạt tấn công mới nhất, kẻ tấn công đã thêm vào một tập lệnh cài đặt trước ("setup_bun.js") trong tệp package.json, được cấu hình để cài đặt hoặc định vị thời gian chạy Bun một cách bí mật và chạy một tập lệnh độc hại được đóng gói ("bun_environment.js").

Phần mềm độc hại thực hiện chuỗi hành động sau thông qua hai quy trình làm việc khác nhau:

    Đăng ký máy bị nhiễm là một trình chạy tự lưu trữ có tên "SHA1HULUD" và thêm một quy trình làm việc có tên.github/workflows/discussion.yaml chứa lỗ hổng tiêm nhiễm và chạy cụ thể trên các trình chạy tự lưu trữ, cho phép kẻ tấn công chạy các lệnh tùy ý trên các máy bị nhiễm bằng cách mở các cuộc thảo luận trong kho lưu trữ GitHub
    Xâm nhập tất cả các bí mật được xác định trong phần bí mật GitHub và tải chúng lên dưới dạng hiện vật vào tệp có tên "actionsSecrets.json" trong kho lưu trữ xâm nhập, sau đó tệp này được tải xuống máy bị xâm nhập và quy trình làm việc bị xóa để che giấu hoạt động

Helixuard lưu ý: "Sau khi thực thi, phần mềm độc hại sẽ tải xuống và chạy TruffleHog để quét máy cục bộ, đánh cắp thông tin nhạy cảm như mã thông báo NPM, thông tin đăng nhập AWS/GCP/Azure và biến môi trường".


Wiz cho biết họ đã phát hiện hơn 25.000 kho lưu trữ bị ảnh hưởng trên khoảng 350 người dùng duy nhất, với 1.000 kho lưu trữ mới được thêm vào liên tục sau mỗi 30 phút trong vài giờ qua.

"Chiến dịch này tiếp tục xu hướng xâm phạm chuỗi cung ứng npm, tham chiếu đến tên miền và kỹ thuật Shai-Hulud, mặc dù nó có thể liên quan đến nhiều tác nhân khác nhau", Wiz nói. "Mối đe dọa này lợi dụng các tài khoản bảo trì bị xâm phạm để phát tán các phiên bản trojan hóa của các gói npm hợp pháp, thực thi mã đánh cắp thông tin đăng nhập và mã độc trong quá trình cài đặt."

Koi Security cho biết làn sóng thứ hai hung hãn hơn nhiều, nói thêm rằng phần mềm độc hại sẽ cố gắng phá hủy toàn bộ thư mục gốc của nạn nhân nếu nạn nhân không xác thực hoặc thiết lập được tính bền vững. Điều này bao gồm mọi tệp có thể ghi được thuộc sở hữu của người dùng hiện tại trong thư mục gốc của họ. Tuy nhiên, chức năng giống như trình xóa dữ liệu này chỉ được kích hoạt khi các điều kiện sau được đáp ứng:

    Nó không thể xác thực với GitHub
    Nó không thể tạo kho lưu trữ GitHub
    Nó không thể lấy mã thông báo GitHub
    Không tìm thấy mã thông báo npm

"Nói cách khác, nếu Sha1-Hulud không thể đánh cắp thông tin đăng nhập, lấy mã thông báo hoặc bảo mật bất kỳ kênh rò rỉ dữ liệu nào, nó sẽ mặc định phá hủy dữ liệu một cách thảm khốc", các nhà nghiên cứu bảo mật Yuval Ronen và Idan Dardikman cho biết. "Điều này đánh dấu một sự leo thang đáng kể so với đợt tấn công đầu tiên, chuyển đổi chiến thuật của tin tặc từ việc đánh cắp dữ liệu thuần túy sang phá hoại mang tính trừng phạt."

Phần mềm độc hại này cũng được phát hiện có thể chiếm được quyền root bằng cách thực thi lệnh Docker gắn hệ thống tệp gốc của máy chủ vào một vùng chứa đặc quyền với mục đích sao chép tệp sudoers độc hại, cấp cho kẻ tấn công quyền truy cập root không cần mật khẩu vào người dùng bị xâm phạm.

Để giảm thiểu rủi ro do mối đe dọa gây ra, các tổ chức được khuyến cáo quét tất cả các điểm cuối để tìm các gói bị ảnh hưởng, xóa ngay lập tức các phiên bản bị xâm phạm, luân chuyển tất cả thông tin xác thực và kiểm tra kho lưu trữ để tìm cơ chế duy trì bằng cách xem xét.github/workflows/ để tìm các tệp đáng ngờ như shai-hulud-workflow.yml hoặc các nhánh không mong muốn.