미니 샤이훌루드 탐지기

Mini Shai-Hulud npm 공급망 공격(CVE-2026-45321, CVSS 9.6)을 위한 원커맨드 스캐너입니다.

중요: 토큰을 교체하기 전에 먼저 탐지하세요

이 웜은 자격 증명이 철회되는 것을 감지하면 rm -rf ~를 실행하는 지속성 데몬(gh-token-monitor)을 설치합니다. 데몬이 제거되었는지 확인하기 전에는 GitHub PAT나 npm 토큰을 교체하지 마세요. 탐지 → 데몬 제거 → 그다음에 교체하세요.

사용법

curl -fsSL https://raw.githubusercontent.com/prashanthnataraj/mini-shai-hulud-detector/main/shai-hulud-detector.sh | bash

또는 먼저 다운로드하여 검토하세요(셸로 파이프하는 모든 스크립트에 권장):

curl -fsSL https://raw.githubusercontent.com/prashanthnataraj/mini-shai-hulud-detector/main/shai-hulud-detector.sh -o shai-hulud-detector.sh
# Read it. Then:
bash shai-hulud-detector.sh

검사 항목

종료 코드

package-lock.json이 없으면 설계상 SUSPICIOUS를 반환합니다 — npm install 후 스캔을 실행하세요.

INFECTED 발생 시 복구 순서

1. 즉시 네트워크 연결을 끊으세요.
2. npm install, npm uninstall, git push를 실행하지 마세요.
3. 데몬을 먼저 제거하세요 — 스크립트 출력에 정확한 경로가 나와 있습니다.
4. 페이로드 파일을 제거하세요.
5. 그런 다음에만: 다시 연결하고 자격 증명을 교체하세요(먼저 GitHub PAT).
6. 재설치: rm -rf node_modules && npm install --ignore-scripts.

보안 강화(스캔 결과와 관계없이 수행할 가치가 있음)

.npmrc에 추가하세요:

ignore-scripts=true
minimum-release-age=4320

모든 GitHub Actions를 버전 태그가 아닌 전체 커밋 SHA로 고정하세요.

정보

Lume AI 팀이 2026년 5월에 실제 CVE-2026-45321 공격을 경험한 후 작성되었습니다. 이 스크립트는 읽기 전용입니다 — 다운로드 후 네트워크 호출이 없으며, 디스크에 기록하지 않습니다. 실행하기 전에 소스를 검토하세요.

라이선스

MIT — LICENSE 참조.