Mini Shai-Hulud Ataque a la Cadena de Suministro — Comprobador de IOCs

curl -fsSL https://raw.githubusercontent.com/nkopylov/tanscript-exploit-check/main/check-tanstack-exploit.sh | bash

O clonar y ejecutar localmente:

git clone https://github.com/nkopylov/tanscript-exploit-check.git
cd tanscript-exploit-check
./check-tanstack-exploit.sh [directorio_del_proyecto ...]

Lo que sucedió

Este comprobador cubre dos oleadas de la campaña de ataque a la cadena de suministro Mini Shai-Hulud por parte de TeamPCP:

Oleada 1: Compromiso del CI/CD de TanStack (11 de mayo de 2026)

El 11 de mayo de 2026 (19:20-19:26 UTC), un atacante publicó 84 versiones maliciosas en 42 paquetes @tanstack/* de npm en una ventana de 6 minutos. El ataque también afectó a paquetes de Mistral AI, UiPath, OpenSearch y otros, con más de 170 paquetes en total en npm y PyPI.

No se robaron credenciales de mantenedores. El atacante explotó la propia cadena de confianza del CI/CD mediante un ataque de 3 etapas:

1. Explotación de pull_request_target — Un fork de GitHub desechable abrió un PR que ejecutaba código del atacante en el contexto de seguridad del repositorio base.
2. Envenenamiento de caché de GitHub Actions — El código del fork envenenó la caché compartida de pnpm, que posteriormente infectó los flujos de trabajo de publicación legítimos.
3. Extracción de tokens OIDC de la memoria del proceso — El código malicioso extrajo tokens de publicación de npm directamente de la memoria del runner de GitHub Actions, produciendo paquetes con atestados de procedencia SLSA Build Level 3 válidos.

Oleada 2: Toma de cuenta de npm "atool" (19 de mayo de 2026)

El 19 de mayo de 2026 (01:39-02:06 UTC), la cuenta comprometida de npm atool ([email protected]) publicó 637 versiones maliciosas en 314 paquetes en dos oleadas automatizadas. Los objetivos de alto impacto incluyen:

• size-sensor (4.2M descargas/mes)
• echarts-for-react (3.8M descargas/mes)
• @antv/scale (2.2M descargas/mes)
• timeago.js (1.15M descargas/mes)
• 310+ paquetes adicionales @antv/* y otros

Esta oleada utilizó una carga útil basada en Bun (498KB index.js) activada mediante "preinstall": "bun run index.js", con una carga útil de segunda etapa oculta en commits impostores enviados al repositorio de GitHub antvis/G2 mediante la explotación del objeto compartido del fork.

Lo que hace el código malicioso (ambas oleadas)

Ambas oleadas utilizan la misma familia de herramientas "Mini Shai-Hulud":

• Recolección de credenciales: Más de 80 variables de entorno, cadena completa de AWS (env → config → IMDSv2 → ECS → Secrets Manager), PATs de GitHub, tokens de npm, claves SSH, tokens K8s, tokens de Vault, gestores de contraseñas (1Password, Bitwarden, pass, gopass).
• Persistencia: Demonios gh-token-monitor (Oleada 1) y kitty-monitor (Oleada 2) mediante LaunchAgent/systemd; hooks en .claude/settings.json y .vscode/tasks.json.
• Exfiltración: Redes P2P (Oleada 1), API de Git Data de GitHub + HTTPS disfrazado como trazas de OpenTelemetry (Oleada 2).
• Abuso de CI/CD: Inyección de flujos de trabajo volcando toJSON(secrets), intercambio de tokens OIDC de npm.
• Interruptor de hombre muerto: rm -rf ~/ si el token de GitHub se revoca mientras el daemon está activo.
• C2 de buzón muerto (Oleada 2): Consulta la API de búsqueda de commits de GitHub en busca de la palabra clave firedalazer, comandos firmados con RSA-PSS.

Lo que comprueba este script

Paquetes afectados

Oleada 1: TanStack (42 paquetes)

Solo se vieron afectados @tanstack/router* y @tanstack/start*. NO afectados: @tanstack/query*, @tanstack/table*, @tanstack/form*, @tanstack/virtual*, @tanstack/store.

Consulte el aviso completo para los 42 paquetes.

Oleada 2: Cuenta atool (314 paquetes)

Todos los paquetes publicados por el usuario de npm atool ([email protected]) recibieron versiones maliciosas el 19 de mayo de 2026. Los paquetes de alto impacto incluyen:

Además de 310+ paquetes principalmente en el ámbito @antv/* (@antv/g2, @antv/g6, @antv/l7, @antv/s2, @antv/x6, @antv/f2, etc.), ai-figure, timeago-react, jest-canvas-mock, jest-date-mock y otros.

Consulte el informe de SafeDep para la lista completa.

Mitigación (si está comprometido)

CRÍTICO: Deshabilite el interruptor de hombre muerto ANTES de revocar cualquier token. El malware borra $HOME si los tokens se revocan mientras el daemon está activo.

1. Mate los demonios de persistencia (gh-token-monitor Y kitty-monitor) y elimine los servicios de LaunchAgent/systemd.
2. Elimine los archivos de persistencia (.claude/router_runtime.js, .vscode/setup.mjs, ~/.local/share/kitty/cat.py, /var/tmp/.gh_update_state, etc.)
3. Borre node_modules y los archivos lock, reinstale con --ignore-scripts
4. Rote TODAS las credenciales (npm, GitHub, AWS, GCP, claves SSH, tokens de Vault, tokens de gestores de contraseñas, etc.)
5. Bloquee los dominios del atacante a nivel de DNS/cortafuegos (api.masscan.cloud, filev2.getsession.org, git-tanstack.com, t.m-kosche.com)

Anuncios oficiales y referencias

Oleada 1: TanStack (11 de mayo)

• CVE-2026-45321 (CVSS 9.6 Crítico) — Registro CVE
• GHSA-g7cv-rxg3-hmpx — Aviso de GitHub
• Informe post-mortem de TanStack — tanstack.com/blog/npm-supply-chain-compromise-postmortem
• Seguimiento de endurecimiento de TanStack — tanstack.com/blog/incident-followup
• Issue de seguimiento de GitHub — TanStack/router#7383

Oleada 2: Toma de cuenta atool (19 de mayo)

• Análisis de SafeDep — safedep.io/mini-shai-hulud-strikes-again-314-npm-packages-compromised

Informes de investigadores de seguridad

• Socket.dev
• Snyk
• StepSecurity (descubridores originales)
• Wiz
• Orca Security
• SecurityWeek

Indicaciones de endurecimiento para agentes de codificación de IA

Copie y pegue estas indicaciones en su agente de codificación de IA (Claude Code, Cursor, Cline/OpenClaw, Windsurf, Hermes, etc.) para endurecer su proyecto contra ataques a la cadena de suministro como este.

Indicación 1: Retraso de publicación en npm (cuarentena de nuevas versiones)

Endurece la configuración npm de este proyecto contra ataques a la cadena de suministro. Haz lo siguiente:

1. Fija versiones exactas: Elimina todos los prefijos ^ y ~ de cada dependencia en package.json para que npm install nunca obtenga silenciosamente una versión recién publicada.

2. Deshabilita los scripts postinstall por defecto: Añade ignore-scripts=true a .npmrc. Luego añade un script "preinstall" explícito en package.json que ejecute solo los scripts de ciclo de vida conocidos y seguros que este proyecto realmente necesite (si los hay).

3. Exige instalaciones solo desde lockfile en CI: Asegúrate de que CI use npm ci (no npm install). Si hay un archivo de configuración de CI, verifícalo. Si no, indícalo como paso manual.

4. Añade verificación de procedencia: Añade npm audit signatures como paso en el pipeline de CI y como hook pre-push de git.

Indicación 2: Endurecer la configuración del agente de IA

Audita y endurece la configuración del agente de codificación de IA de este proyecto contra ataques de inyección en la cadena de suministro (como la campaña TanStack/Mini Shai-Hulud que inyectó hooks maliciosos en .claude/settings.json y .vscode/tasks.json). Haz lo siguiente:

Claude Code (.claude/):

1. Revisa .claude/settings.json y .claude/settings.local.json en busca de entradas hooks que ejecuten comandos de shell. Señala cualquier cosa que ejecute archivos .js, .mjs o .sh, especialmente desde dentro de .claude/, .vscode/ o node_modules/.
2. Elimina cualquier hook que no puedas rastrear hasta un propósito legítimo y creado por el usuario.

Indicación 3: Endurecimiento de GitHub Actions

Audita y endurece la configuración de GitHub Actions en este repositorio contra ataques a la cadena de suministro de CI/CD. Haz lo siguiente:

1. Elimina o refactoriza cualquier disparador pull_request_target — estos ejecutan código del flujo de trabajo en el contexto del repositorio base con acceso a secretos, incluso cuando se activan mediante un fork. Reemplázalos con pull_request + un flujo de trabajo separado con aprobación si es necesario.

2. Fija todas las acciones de terceros a commits SHA completos (no etiquetas o ramas). Por ejemplo, reemplaza actions/checkout@v4 con actions/checkout@<sha-completo>. Añade un comentario con la etiqueta para legibilidad.

3. Aplica permisos de mínimo privilegio a cada flujo de trabajo. Añade bloques permissions: explícitos. La mayoría de los flujos de trabajo solo necesitan contents: read. Los flujos de trabajo de publicación necesitan id-token: write — y nada más.

4. Restringe el ámbito de la caché: Si usas actions/cache, asegúrate de que las claves de caché tengan ámbito por rama para evitar el envenenamiento entre ramas. Añade restore-keys con cuidado — no restaures cachés de ramas no confiables.

Licencia

MIT