慢雾TI警报：NPM供应链中毒分析——重建Shai Hulud攻击 1.️⃣NPM生态系统遭受了另一次大规模的包裹中毒攻击，与Shai Hulud事件（2025年9月）密切相关。这股新浪潮在广泛使用的软件包中嵌入了恶意有效载荷，以窃取开发人员机密、云凭据和环境变量，然后将泄露的数据上传到攻击者控制的GitHub存储库。 我们的Web3威胁情报和实时监控平台MistEye立即做出反应，迅速推送相关威胁情报，为我们的客户提供关键的安全保护。 有关IoC的完整列表，请参阅详细分析：https://slowmist.medium.com/威胁情报-npm-供应链-监控分析-重构-海-呼-攻击-ec0b2da86aa8 2.️⃣技术故障 使用包@asyncapi/php-template@0.1.1例如： 攻击者添加了两个JS文件：setup_bun.JS和一个模糊的bun_environment.JS，以及一个新的预安装脚本。 在安装过程中，脚本会自动安装Bun，配置环境变量，然后使用它来运行恶意负载。 在部分去感染后，aL0（）函数被确定为数据盗窃、凭证收集和供应链传播的主要入口点。 3.️⃣跨AWS/GCP/Azure的凭证被盗️ 有效载荷积极寻找所有可访问的云秘密： 亚马逊云服务 •runSecrets（）+listAndRetrieveAllSecrets（”）扫描所有凭据和所有区域 •提取所有可用的SecretString/SERTBinary •枚举ValidCredentials（）从环境变量、配置文件和CLI会话中收集可用的凭据 谷歌云平台 •枚举所有项目秘密 •通过accessSecretVersion（）检索最新的明文版本 Azure •发现订阅中的所有密钥库 •通过getSecret（）提取每个秘密 攻击者还将TruffleLog嵌入恶意软件中，将合法的安全工具变成了扫描受害者整个文件系统以获取更多秘密的武器。 4.️⃣NPM供应链蠕虫传播 该脚本包含一个updatePackage（）函数，用于启用蠕虫式传播： 使用被盗的NPM代币 下载受害者有权发布的软件包 注入恶意预安装脚本 插入有效载荷 自动调整版本号 向官方NPM注册表发布中毒版本 5.️⃣通过GitHub自助跑步者后门 使用被盗的GitHub令牌，有效载荷： 在受害者的账户中创建新的仓库 将受害者的计算机注册为自托管的GitHub Actions运行器 注入恶意工作流文件 启用完全远程代码执行（RCE） 经过过滤的秘密被Base64编码两次，并上传到攻击者控制的仓库——所有这些都被标记为“Sha1-Hulud：第二次降临” 6.️⃣结论与建议⚠️ 这种攻击结合了： ✔供应链传播 ✔云凭证收集 ✔基于TruffleLog的文件系统扫描 ✔通过自助跑步者实现长期坚持 我们强烈建议： 严格依赖版本锁定（精确锁定版本，避免插入符号/波浪号更新）； 在升级任何依赖关系之前，进行内部安全审查； 监控NPM/GitHub活动，以发现未知版本的颠簸、异常令牌和跑步者注册； 使用MistEye等平台接收实时APT和供应链威胁情报。 如果您需要有关APT活动、依赖中毒和供应链威胁的企业级情报，请联系我们访问MistEye：https://MistEye.io/