Mini Shai-Hulud スキャナー

現在、主要パッケージを食い荒らしている npm/PyPI サプライチェーンワームのための、無料のオフラインスキャナーです。Intrudify チームが開発しました。サインアップ不要、テレメトリなし、完全にオフラインで動作します。

NHS CC-4781 · CVE-2026-45321 (CVSS 9.6) · GHSA-g7cv-rxg3-hmpx

これは何か

この数週間の間に npm install または pip install を実行したなら、これはあなた向けです。

特に @tanstack/*、@uipath/*、@mistralai/*、@cap-js/*、または PyPI の litellm、mistralai、guardrails-ai、lightning、telnyx に触れた場合はなおさらです。これらは毒物混入が確認された名前空間です。合計149パッケージ、現在までに400以上の悪意のあるバージョンが追跡されています。

Mini Shai-Hulud が被害をもたらしているワームです。npm と GitHub の認証情報を窃取し、macOS、Linux、Windows にまたがって永続化を仕込み、そして(ほとんどの人が見落とす部分ですが)ブービートラップ付きのトークンを残します。感染マシンからそれを失効させると rm -rf ~/ が発動します。ホームディレクトリが消えます。クリーンアップの順序が重要です。

このスキャナーは、パッケージ、ロックファイル、永続化機構、ペイロードのハッシュ、C2 トラフィック、git 履歴、CI 環境にわたる既知の侵害指標を19項目すべてチェックします。読み取りのみを行います。書き込み、削除、外部への通信は一切行いません。

3つのスクリプト、1つの役割: Python、Bash、PowerShell。あなたの環境に合うものを選んでください。

なぜ作ったのか

Intrudify は、欧州初の完全自律型 Web アプリケーション向け AI ペネトレーションテスターです。提案はシンプルです: 3万ドルの人的ペンテストチームと同じ成果を、数週間ではなく数時間で提供し、NIS2、SOC2、ISO27001 に対応した監査対応レポートとステップバイステップの修復ガイダンスを添えます。コードをリリースしていてセキュリティチームを持たないなら、私たちがそのギャップを埋めます。

このスキャナーはその一部です。サプライチェーンワームは調達サイクルより速く動くため、無料で提供しています。午後11時に CVE フィードを眺めている開発者に必要なのは営業電話ではありません。30秒で実行でき、自分がやられているかどうかを教えてくれるツールが必要なのです。

進行中の侵害(CI/CD パイプラインの乗っ取り、GitHub Actions OIDC トークンの悪用、npm/PyPI サプライチェーンのインシデントレスポンス)については、直接連絡してください: [email protected]

この数週間の間に npm または PyPI パッケージをインストールした場合、特に @tanstack/*、@uipath/*、@mistralai/*、@cap-js/*、または PyPI の litellm、mistralai、guardrails-ai、lightning、telnyx のいずれかに触れた場合は、あなたのマシンが侵害されている可能性があります。

Mini Shai-Hulud ワームは認証情報を窃取し、macOS、Linux、Windows にまたがって永続化を仕込み、誤った順序でクリーンアップするとホームディレクトリを消去する可能性があります。

このスキャナーは既知の侵害指標を19項目すべてチェックします。読み取りのみを行い、マシンから何かを書き込んだり、削除したり、送信したりすることはありません。

実行前に: まずこれを読む

ワームはブービートラップ付きの npm トークンを仕込みます。感染マシンからそれを失効させると rm -rf ~/ が発動します。順序が重要です。

スキャナーが CRITICAL の検出結果を出した場合は、この順序で実行してください:

1. マシンをネットワークから切断します(ケーブルを抜くか Wi-Fi をオフに)
2. 何かに触れる前にスナップショットまたはディスクイメージを取得します
3. 別のマシンから npmjs.com と GitHub にログインし、そこでトークンを失効させます
4. その後、感染マシンをクリーンアップします

実行方法: 3ステップ

ステップ 1: スクリプトを選ぶ

ステップ 2: プロジェクトフォルダーから実行する

# macOS / Linux
chmod +x scan_cc4781.sh
./scan_cc4781.sh --deep

# Windows PowerShell
.\scan_cc4781.ps1 -Deep

# Python (any OS)
python3 scan_cc4781.py --deep

--deep / -Deep フラグは、現在のディレクトリ配下のすべての node_modules を再帰的に走査します。モノレポや複数のプロジェクトがある場合は推奨です。

PowerShell がスクリプトをブロックする場合:

powershell -ExecutionPolicy Bypass -File .\scan_cc4781.ps1 -Deep

ステップ 3: 結果を読む

RESULT: 0 CRITICAL / 0 HIGH   →  you're clean
RESULT: X CRITICAL / Y HIGH   →  stop and follow the steps above before doing anything else

CRITICAL = 侵害が確認された指標。直ちに対処してください。 HIGH = 疑わしい。調査してください。一部の HIGH は想定される誤検知です(下記参照)。

クリーンなマシンでの想定出力

CC-4781 / Mini Shai-Hulud Supply-Chain Attack Scanner
Host: your-hostname  OS: your-os
Checking 149 npm packages (400+ malicious versions), 5 PyPI packages

[OK]   gh-token-monitor process not detected
[HIGH] payload-artefact: sysmon.py  ->  .../coverage/sysmon.py    <- false positive: Python coverage package
[HIGH] payload-artefact: execution.js  ->  .../n8n/.../execution.js  <- false positive: n8n
[OK]   git-tanstack.com does not resolve
[OK]   No malicious optionalDependencies github: references found
[OK]   No attacker exfil commits in git log

RESULT: 0 CRITICAL / 4 HIGH

sysmon.py と execution.js の HIGH 検出は誤検知です: ファイル名がワームのペイロード名と一致していますが、SHA-256 ハッシュは一致しません。CRITICAL は、ハッシュが悪意のあることが確認されたペイロードと一致した場合にのみ発火します。

全フラグ

JSON 出力形式: { "host": "...", "findings": [{ "severity": "CRITICAL|HIGH", "category": "...", "detail": "...", "path": "..." }] }

スキャナーのチェック内容(19の侵害指標)

対象となる攻撃の波

重要: npm audit signatures が成功しても安全とは限りません。Mini Shai-Hulud は、GitHub Actions OIDC パイプラインの乗っ取りを介して有効な SLSA Build Level 3 の provenance を生成した最初の文書化された攻撃です。署名はビルドの provenance を検証するものであり、ビルドパイプライン自体がクリーンであることを検証するものではありません。

技術的背景

このワームは3層の難読化を使用しています: obfuscator.io、次に Fisher-Yates 置換暗号(PBKDF2-SHA256、20万反復)、さらに AES-256-GCM。認証情報は、Session Protocol CDN、GitHub GraphQL デッドドロップ、ICP ブロックチェーンキャニスター、WAV ステガノグラフィーを介して外部送信されます。

永続化は、macOS LaunchAgent、Linux systemd ユニット、Windows スケジュールタスクまたは HKCU Run キー、Claude Code SessionStart フック、VS Code folderOpen タスク、Python .pth スタートアップファイルとして仕込まれます。侵害された CI ランナーでは Kubernetes DaemonSet を仕込みます。

RANSOM TOKEN(IfYouRevokeThisTokenItWillWipeTheComputerOfTheOwner)は、60秒ごとに api.github.com/user をポーリングする gh-token-monitor デーモンとペアになっています。40x 応答は、Linux/macOS では rm -rf ~/ を、Windows ではそれに相当する操作を発動します。

IOC ソース

GHSA-g7cv-rxg3-hmpx、JFrog Security Research、StepSecurity、Socket.dev、Wiz Threat Research、Snyk、Aikido Security、Orca Security、Mend.io (2026-05-13時点) から集約。

検出ルール: Sigma 5299fadf-f228-4526-8274-251db1960be9 (Shai-Hulud Malicious Bun Execution)、Palo Alto ATP シグネチャ 87120。

参考情報

• NHS CC-4781
• GHSA-g7cv-rxg3-hmpx
• CVE-2026-45321
• StepSecurity: Mini Shai-Hulud is back
• JFrog: Shai-Hulud here we go again
• Wiz: Mini Shai-Hulud strikes again

進行中の侵害で支援が必要ですか?

Intrudify は、npm/PyPI サプライチェーンのインシデントレスポンス(IR)、CI/CD パイプラインの乗っ取り、GitHub Actions OIDC トークンの悪用を専門としています。

連絡先: [email protected]  ·  intrudify.com