Nouvelle vague d’attaques sur npm « Sha1-Hulud » : centaines de paquets compromis et exfiltration de secrets

Plusieurs acteurs de la cybersécurite tirent la sonnette d’alarme : une seconde vague d’attaques visant le registre npm reproduit des techniques proches de l’attaque Shai-Hulud. Les firmes Aikido, HelixGuard, Koi Security, Socket, Step Security et Wiz rapportent que des centaines de paquets npm ont ete compromises.

Ce que l’on sait

Les paquets trojanises ont ete publies sur npm entre le 21 et le 23 novembre 2025. Les chercheurs de Wiz, Hila Ramati, Merav Bar, Gal Benmocha et Gili Tikochinski, indiquent que la campagne introduit une nouvelle variante qui execute du code malveillant pendant la phase de preinstall, augmentant fortement l’exposition lors des operations de build et en runtime.

Comme lors de la vague de septembre 2025, les acteurs publient des secrets voles sur GitHub, cette fois avec la description du depot: « Sha1-Hulud: The Second Coming. » Les variantes infectees cherchent des informations d’identification avec l’outil TruffleHog et peuvent se repandre en republier des paquets au nom de mainteneurs compromises.

Mecanisme de l’infection

Dans la nouvelle campagne, les attaquants ajoutent un script de preinstall (« setup_bun.js ») dans le fichier package.json. Ce script est configure pour installer ou localiser silencieusement le runtime Bun et executer un script malveillant fournis, « bun_environment.js ».

La charge utile malveillante suit deux flux d’operations principaux :

• Enregistrement de la machine infectee comme runner auto-heberge nomme « SHA1HULUD » et ajout d’un workflow .github/workflows/discussion.yaml contenant une faille d’injection. Ce workflow s’execute sur des self-hosted runners, permettant a l’attaquant d’executer des commandes arbitraires en ouvrant des discussions dans le depot GitHub.
• Exfiltration de tous les secrets definis dans la section GitHub Secrets : ces secrets sont empaquetes en tant qu’artifact dans un fichier « actionsSecrets.json » dans des depots d’exfiltration, puis telecharges sur la machine compromise. Le workflow est ensuite supprime pour dissimuler l’activite.

HelixGuard note que, lors de l’execution, le malware telecharge et lance TruffleHog pour scanner la machine locale et voler des informations sensibles telles que des NPM Tokens, des identifiants AWS/GCP/Azure et des variables d’environnement.

Wiz a detecte plus de 25 000 depots affectes lies a environ 350 utilisateurs uniques, avec environ 1 000 nouveaux depots ajoutes toutes les 30 minutes sur les dernieres heures rapportees.

Comportements destructeurs et escalade de privileges

Koi Security qualifie cette seconde vague d' »beaucoup plus agressive ». Le malware tente de detruire l’ensemble du repertoire personnel de la victime si certaines operations d’authentification ou d’exfiltration echouent. Cette fonctionnalite de type wiper s’enclenche uniquement si toutes les conditions suivantes sont remplies :

• Impossible d’authentifier vers GitHub
• Impossible de creer un depot GitHub
• Impossible de recuperer un token GitHub
• Impossible de trouver un token npm

Dans ce cas, le malware supprime tous les fichiers ecrivable appartenant a l’utilisateur dans son dossier personnel. Les chercheurs Yuval Ronen et Idan Dardikman estiment que cela represente une escalation importante : « si Sha1-Hulud est incapable de voler des identifiants, d’obtenir des tokens ou de securiser un canal d’exfiltration, il bascule vers une destruction catastrophique des donnees. »

Le malware a egalement ete observe en train d’obtenir des privileges root en executant une commande Docker qui monte le systeme de fichiers racine de l’hote dans un conteneur privilegie, dans le but de copier un fichier sudoers malveillant offrant un acces root sans mot de passe a l’attaquant.

Recommandations pour les organisations

Les equipes de securite sont invitees a appliquer immediatement les mesures suivantes :

• Scanner tous les postes et environnements pour detecter la presence des paquets npm affectes et supprimer les versions compromises.
• Faire une rotation complete de toutes les credentials et tokens potentiellement exposes (NPM, GitHub, cloud providers, etc.).
• Auditer les depots GitHub pour detecter des mecanismes de persistence : revoir le dossier .github/workflows/ a la recherche de fichiers suspects tels que shai-hulud-workflow.yml, discussion.yaml, ou d’autres workflows inattendus, ainsi que de branches et depots d’exfiltration.
• Bloquer ou verifier les self-hosted runners non autorises et isoler les machines compromises.

Cette campagne poursuit la tendance des compromissions de la chaine d’approvisionnement npm faisant reference a Shai-Hulud, bien que les auteurs puissent differer. Les organisations doivent considerer ces incidents comme critiques et agir rapidement pour limiter l’impact.