scan-shai-hulud

CVE-2026-45321「Mini Shai-Hulud」 サプライチェーン攻撃の影響を受けているかどうかを検出する、高速で依存関係ゼロのBashスキャナです。

2026年5月11日、TanStack、Mistral AI、UiPath、OpenSearch、Guardrails AIにわたる 170以上のnpmパッケージ と 2つのPyPIパッケージ が同時に改ざんされました。悪意のあるペイロードはAWS認証情報、GitHubトークン、npmトークン、Vaultシークレット、SSHキーを窃取し、CI/CDパイプラインを通じて拡散する自己増殖型ワームも含まれています。

クイックスタート

curl -fsSL https://raw.githubusercontent.com/qi-scape/scan-shai-hulud/main/scan-shai-hulud.sh | bash

またはクローンして実行:

git clone https://github.com/qi-scape/scan-shai-hulud.git
cd scan-shai-hulud
chmod +x scan-shai-hulud.sh
./scan-shai-hulud.sh

使用方法

# 現在のディレクトリ＋システム全体の永続化チェックをスキャン
./scan-shai-hulud.sh

# 特定のプロジェクトをスキャン
./scan-shai-hulud.sh ~/my-project

# ホームディレクトリ全体をディープスキャン
./scan-shai-hulud.sh --full

チェック内容

このスキャナは8つのステップを実行します:

影響を受けるパッケージ

15のスコープにわたる 170個のnpmパッケージ:

• @tanstack（42パッケージ） — ルーターエコシステムのみ（react-router、vue-router、solid-router、router-core など）
• @uipath（65パッケージ） — 自動化ツールスイート全体
• @squawk（20パッケージ） — 航空データパッケージ
• @tallyui（10パッケージ） — POS/コネクタパッケージ
• @mistralai（3パッケージ） — mistralai、mistralai-azure、mistralai-gcp
• @opensearch-project（1パッケージ） — opensearch
• @beproduct、@draftauth、@draftlab、@supersurkhet、@taskflow-corp、@tolka、@mesadev、@ml-toolkit-ts、@dirigible-ai
• スコープなし: agentwork-cli、cmux-agent-mcp、cross-stitch、、、、、、、

2つのPyPIパッケージ:

• mistralai==2.4.6
• guardrails-ai==0.10.1

C2インフラストラクチャ

何か見つかった場合

スキャナが CRITICAL（重大） な検出結果を報告した場合:

1. 影響を受けたマシンから到達可能なすべての認証情報をローテーションする — AWSキー、GitHubトークン（ghp_*、gho_*、ghs_*）、npmトークン、Vaultトークン、SSHキー、Kubernetesサービスアカウントトークン
2. 悪意のあるパッケージを削除する — npm cache clean --force && rm -rf node_modules && npm install
3. 永続化を削除する — launchctl unload ~/Library/LaunchAgents/com.user.gh-token-monitor.plist
4. C2ドメインをDNS/プロキシレベルでブロックする
5. 2026-05-11T19:20Z 以降のGitHub Actionsの実行を監査する
6. 不正なnpm公開を確認する — npm access ls-packages

参考情報

• CVE-2026-45321 — CVSS 9.6 Critical
• GHSA-g7cv-rxg3-hmpx — GitHub Advisory
• TanStack Postmortem
• Aikido: Mini Shai-Hulud Is Back
• SafeDep: Mass Supply Chain Attack
• Snyk: TanStack Compromised
• The Hacker News Coverage

要件

• Bash 4以上（macOSには3.xが同梱されていますが、このスクリプトは互換性があります）
• 標準UNIXユーティリティ（find、grep、shasum）
• オプション: mdfind（macOS Spotlight、高速ファイル検索に使用）
• オプション: npm、pip（パッケージ/トークンチェック用）
• オプション: git（リポジトリチェック用）
• オプション: lsof（ネットワーク接続チェック用）

ライセンス

MIT