Detector de Mini Shai-Hulud

Escáner de un solo comando para el ataque a la cadena de suministro de npm Mini Shai-Hulud (CVE-2026-45321, CVSS 9.6).

Crítico: detectar antes de rotar tokens

El gusano instala un demonio de persistencia (gh-token-monitor) que ejecuta rm -rf ~ si detecta la revocación de credenciales. No rote su PAT de GitHub ni su token de npm hasta que haya confirmado que el demonio ha desaparecido. Detectar → eliminar el demonio → luego rotar.

Uso

curl -fsSL https://raw.githubusercontent.com/prashanthnataraj/mini-shai-hulud-detector/main/shai-hulud-detector.sh | bash

O descárguelo e inspecciónelo primero (recomendado para cualquier script que vaya a canalizar a un shell):

curl -fsSL https://raw.githubusercontent.com/prashanthnataraj/mini-shai-hulud-detector/main/shai-hulud-detector.sh -o shai-hulud-detector.sh
# Léalo. Después:
bash shai-hulud-detector.sh

Qué comprueba

Códigos de salida

La ausencia de package-lock.json devuelve SOSPECHOSO por diseño: ejecute el escaneo después de npm install.

Orden de remediación si está INFECTADO

1. Desconéctese de la red inmediatamente.
2. NO ejecute npm install, npm uninstall ni git push.
3. Elimine primero el demonio: la salida del script le indica la ruta exacta.
4. Elimine los archivos de payload.
5. Solo entonces: vuelva a conectarse y rote las credenciales (GitHub PAT primero).
6. Reinstale: rm -rf node_modules && npm install --ignore-scripts.

Endurecimiento (merece la pena hacerlo independientemente del resultado del escaneo)

Añada a .npmrc:

ignore-scripts=true
minimum-release-age=4320

Fije todas las GitHub Actions a un SHA de commit completo, no a una etiqueta de versión.

Acerca de

Escrito después de que el equipo de Lume AI se encontrara con un ataque real CVE-2026-45321 en mayo de 2026. El script es de solo lectura: no realiza llamadas de red después de la descarga ni escribe en el disco. Revise el código fuente antes de ejecutarlo.

Licencia

MIT — consulte LICENSE.