scan-shai-hulud

एक तेज़, शून्य-निर्भरता वाला Bash स्कैनर जो यह पता लगाता है कि आपकी मशीन CVE-2026-45321 "Mini Shai-Hulud" आपूर्ति श्रृंखला हमले से प्रभावित है या नहीं।

11 मई, 2026 को, TanStack, Mistral AI, UiPath, OpenSearch और Guardrails AI के 170 npm पैकेज और 2 PyPI पैकेज एक साथ जहर दिए गए। दुर्भावनापूर्ण पेलोड AWS क्रेडेंशियल, GitHub टोकन, npm टोकन, Vault सीक्रेट और SSH कुंजियाँ चुराता है — और इसमें एक स्व-प्रचारक वर्म शामिल है जो CI/CD पाइपलाइनों के माध्यम से फैलता है।

त्वरित आरंभ

curl -fsSL https://raw.githubusercontent.com/qi-scape/scan-shai-hulud/main/scan-shai-hulud.sh | bash

या क्लोन करके चलाएँ:

git clone https://github.com/qi-scape/scan-shai-hulud.git
cd scan-shai-hulud
chmod +x scan-shai-hulud.sh
./scan-shai-hulud.sh

उपयोग

# वर्तमान निर्देशिका + सिस्टम-व्यापी स्थिरता जाँच स्कैन करें
./scan-shai-hulud.sh

# किसी विशिष्ट प्रोजेक्ट को स्कैन करें
./scan-shai-hulud.sh ~/my-project

# पूरे होम निर्देशिका पर गहन स्कैन
./scan-shai-hulud.sh --full

यह क्या जाँचता है

स्कैनर 8 चरण चलाता है:

प्रभावित पैकेज

170 npm पैकेज 15 स्कोप में:

• @tanstack (42 पैकेज) — केवल राउटर इकोसिस्टम (react-router, vue-router, solid-router, router-core, आदि)
• @uipath (65 पैकेज) — पूर्ण ऑटोमेशन टूलिंग सूट
• @squawk (20 पैकेज) — एविएशन डेटा पैकेज
• @tallyui (10 पैकेज) — POS/कनेक्टर पैकेज
• @mistralai (3 पैकेज) — mistralai, mistralai-azure, mistralai-gcp
• @opensearch-project (1 पैकेज) — opensearch
• @beproduct, @draftauth, @draftlab, @supersurkhet, @taskflow-corp, @tolka, @mesadev, @ml-toolkit-ts, @dirigible-ai
• अस्कोप्ड: agentwork-cli, cmux-agent-mcp, cross-stitch, , , , , , ,

2 PyPI पैकेज:

• mistralai==2.4.6
• guardrails-ai==0.10.1

C2 बुनियादी ढाँचा

अगर आपको कुछ मिले

यदि स्कैनर गंभीर (CRITICAL) निष्कर्ष रिपोर्ट करता है:

1. प्रभावित मशीन से पहुँच योग्य सभी क्रेडेंशियल बदलें — AWS कुंजियाँ, GitHub टोकन (ghp_*, gho_*, ghs_*), npm टोकन, Vault टोकन, SSH कुंजियाँ, Kubernetes सेवा खाता टोकन
2. दुर्भावनापूर्ण पैकेज हटाएं — npm cache clean --force && rm -rf node_modules && npm install
3. स्थिरता हटाएं — launchctl unload ~/Library/LaunchAgents/com.user.gh-token-monitor.plist
4. DNS/प्रॉक्सी स्तर पर C2 डोमेन ब्लॉक करें
5. 2026-05-11T19:20Z के बाद GitHub Actions रन का ऑडिट करें
6. अनधिकृत npm प्रकाशनों की जाँच करें — npm access ls-packages

संदर्भ

• CVE-2026-45321 — CVSS 9.6 गंभीर
• GHSA-g7cv-rxg3-hmpx — GitHub सलाह
• TanStack पोस्टमार्टम
• Aikido: Mini Shai-Hulud Is Back
• SafeDep: मास सप्लाई चेन अटैक
• Snyk: TanStack समझौता
• द हैकर न्यूज़ कवरेज

आवश्यकताएँ

• Bash 4+ (macOS 3.x के साथ आता है लेकिन स्क्रिप्ट संगत है)
• मानक UNIX उपयोगिताएँ (find, grep, shasum)
• वैकल्पिक: mdfind (macOS Spotlight, तेज़ फ़ाइल खोज के लिए)
• वैकल्पिक: npm, pip (पैकेज/टोकन जाँच के लिए)
• वैकल्पिक: git (रिपॉजिटरी जाँच के लिए)
• वैकल्पिक: lsof (नेटवर्क कनेक्शन जाँच के लिए)

लाइसेंस

MIT