prashanthnataraj/mini-shai-hulud-detectorEin-Befehl-Scanner für den Mini Shai-Hulud npm Supply-Chain-Wurm (CVE-2026-45321). Erkennen, bevor Token rotiert werden.
Ein-Befehl-Scanner für die Mini Shai-Hulud npm-Supply-Chain-Attacke (CVE-2026-45321, CVSS 9.6).
Der Wurm installiert einen Persistenz-Daemon (gh-token-monitor), der rm -rf ~ ausführt, wenn er eine Sperrung von Anmeldedaten erkennt. Rotieren Sie Ihr GitHub-PAT oder npm-Token erst, nachdem Sie bestätigt haben, dass der Daemon verschwunden ist. Erkennen → Daemon entfernen → dann rotieren.
curl -fsSL https://raw.githubusercontent.com/prashanthnataraj/mini-shai-hulud-detector/main/shai-hulud-detector.sh | bash
Oder herunterladen und zuerst prüfen (empfohlen für jedes Skript, das Sie an eine Shell weiterleiten):
curl -fsSL https://raw.githubusercontent.com/prashanthnataraj/mini-shai-hulud-detector/main/shai-hulud-detector.sh -o shai-hulud-detector.sh
# Lesen Sie es. Dann:
bash shai-hulud-detector.sh
| Schritt | Prüfung |
|---|---|
| 1 | @tanstack/setup-Phantom-Paket in package-lock.json |
| 2 | Bekannte bösartige Payload-Dateien (router_init.js, tanstack_runner.js) |
| 3 | SHA-256-Hashes der Payload gegen eine Liste bekannter schädlicher Hashes |
| 4 | gh-token-monitor-Persistenz-Daemon (LaunchAgent / systemd / pgrep) |
| 5 | Unerwartete PreToolUse / PostToolUse-Hooks in ~/.claude/settings.json |
| 6 | pull_request_target-Trigger und nicht gepinnte Action-Referenzen in .github/workflows |
| Code | Befund |
|---|---|
0 | SAUBER — keine Indikatoren gefunden |
1 | VERDÄCHTIG — manuelle Überprüfung erforderlich |
2 | INFIZIERT — die Reparatur-Reihenfolge genau befolgen (siehe Skriptausgabe) |
Eine fehlende
package-lock.jsongibt absichtlich VERDÄCHTIG zurück — führen Sie den Scan nachnpm installaus.
npm install, npm uninstall oder git push ausführen.rm -rf node_modules && npm install --ignore-scripts.In .npmrc hinzufügen:
ignore-scripts=true
minimum-release-age=4320
Alle GitHub-Aktionen auf einen vollständigen Commit-SHA pinnen, nicht auf einen Versions-Tag.
Geschrieben, nachdem das Team von Lume AI im Mai 2026 einen aktiven CVE-2026-45321-Angriff angetroffen hat. Das Skript ist schreibgeschützt — keine Netzwerkaufrufe nach dem Herunterladen, keine Schreibvorgänge auf die Festplatte. Überprüfen Sie den Quellcode, bevor Sie es ausführen.
MIT — siehe LICENSE.