Mini Shai-Hulud 検出器

Mini Shai-Hulud npm サプライチェーン攻撃（CVE-2026-45321、CVSS 9.6）のためのワンコマンドスキャナー。

重要: トークンをローテーションする前に検出する

このワームは、資格情報の失効を検出すると rm -rf ~ を実行する永続化デーモン（gh-token-monitor）をインストールします。デーモンが消えたことを確認するまで、GitHub PAT や npm トークンをローテーションしないでください。 検出 → デーモンの削除 → その後に ローテーション。

使い方

curl -fsSL https://raw.githubusercontent.com/prashanthnataraj/mini-shai-hulud-detector/main/shai-hulud-detector.sh | bash

または、最初にダウンロードして確認します（シェルにパイプするスクリプトには推奨）:

curl -fsSL https://raw.githubusercontent.com/prashanthnataraj/mini-shai-hulud-detector/main/shai-hulud-detector.sh -o shai-hulud-detector.sh
# Read it. Then:
bash shai-hulud-detector.sh

チェック内容

終了コード

package-lock.json がない場合は設計上 SUSPICIOUS を返します — npm install 後にスキャンを実行してください。

INFECTED の場合の修復手順

1. 直ちにネットワークから切断します。
2. npm install、npm uninstall、git push を実行しないでください。
3. まずデーモンを削除します — スクリプト出力に正確なパスが表示されます。
4. ペイロードファイルを削除します。
5. その後にのみ: 再接続して資格情報をローテーションします（最初に GitHub PAT）。
6. 再インストール: rm -rf node_modules && npm install --ignore-scripts。

堅牢化（スキャン結果に関係なく実施する価値あり）

.npmrc に追加:

ignore-scripts=true
minimum-release-age=4320

すべての GitHub Actions をバージョンタグではなく完全なコミット SHA に固定します。

概要

Lume AI チームが 2026 年 5 月に実際の CVE-2026-45321 攻撃に遭遇した後に作成されました。このスクリプトは読み取り専用です — ダウンロード後のネットワーク呼び出しはなく、ディスクへの書き込みもありません。実行する前にソースを確認してください。

ライセンス

MIT — LICENSE を参照。