scan-shai-hulud

빠르고 제로 의존성의 Bash 스캐너로, 기기가 CVE-2026-45321 "Mini Shai-Hulud" 공급망 공격에 영향을 받았는지 탐지합니다.

2026년 5월 11일, TanStack, Mistral AI, UiPath, OpenSearch 및 Guardrails AI를 포함한 170개 이상의 npm 패키지와 2개의 PyPI 패키지가 동시에 감염되었습니다. 악성 페이로드는 AWS 자격 증명, GitHub 토큰, npm 토큰, Vault 비밀, SSH 키를 탈취하며, CI/CD 파이프라인을 통해 확산되는 자가 전파 웜을 포함합니다.

빠른 시작

curl -fsSL https://raw.githubusercontent.com/qi-scape/scan-shai-hulud/main/scan-shai-hulud.sh | bash

또는 클론하여 실행:

git clone https://github.com/qi-scape/scan-shai-hulud.git
cd scan-shai-hulud
chmod +x scan-shai-hulud.sh
./scan-shai-hulud.sh

사용법

# Scan current directory + system-wide persistence checks
./scan-shai-hulud.sh

# Scan a specific project
./scan-shai-hulud.sh ~/my-project

# Deep scan across entire home directory
./scan-shai-hulud.sh --full

확인 내용

스캐너는 8단계를 실행합니다:

영향을 받은 패키지

170개의 npm 패키지 (15개 스코프):

• @tanstack (42개 패키지) — 라우터 에코시스템만 해당 (react-router, vue-router, solid-router, router-core 등)
• @uipath (65개 패키지) — 전체 자동화 도구 제품군
• @squawk (20개 패키지) — 항공 데이터 패키지
• @tallyui (10개 패키지) — POS/커넥터 패키지
• @mistralai (3개 패키지) — mistralai, mistralai-azure, mistralai-gcp
• @opensearch-project (1개 패키지) — opensearch
• @beproduct, @draftauth, @draftlab, @supersurkhet, @taskflow-corp, @tolka, @mesadev, @ml-toolkit-ts, @dirigible-ai
• 스코프 없음: agentwork-cli, cmux-agent-mcp, cross-stitch, , , , , , ,

2개의 PyPI 패키지:

• mistralai==2.4.6
• guardrails-ai==0.10.1

C2 인프라

문제 발견 시 대처 방법

스캐너가 CRITICAL 결과를 보고하면:

1. 모든 자격 증명 교체 — 영향을 받은 기기에서 접근 가능한 AWS 키, GitHub 토큰 (ghp_*, gho_*, ghs_*), npm 토큰, Vault 토큰, SSH 키, Kubernetes 서비스 계정 토큰
2. 악성 패키지 제거 — npm cache clean --force && rm -rf node_modules && npm install
3. 지속성 제거 — launchctl unload ~/Library/LaunchAgents/com.user.gh-token-monitor.plist
4. C2 도메인 차단 — DNS/프록시 수준에서
5. GitHub Actions 실행 감사 — 2026-05-11T19:20Z 이후
6. 무단 npm 게시 확인 — npm access ls-packages

참고 자료

• CVE-2026-45321 — CVSS 9.6 심각
• GHSA-g7cv-rxg3-hmpx — GitHub 권고
• TanStack Postmortem
• Aikido: Mini Shai-Hulud Is Back
• SafeDep: Mass Supply Chain Attack
• Snyk: TanStack Compromised
• The Hacker News Coverage

요구 사항

• Bash 4+ (macOS는 3.x와 함께 제공되지만 스크립트는 호환됨)
• 표준 UNIX 유틸리티 (find, grep, shasum)
• 선택 사항: mdfind (macOS Spotlight, 더 빠른 파일 검색에 사용)
• 선택 사항: npm, pip (패키지/토큰 확인용)
• 선택 사항: git (리포지토리 확인용)
• 선택 사항: lsof (네트워크 연결 확인용)

라이선스

MIT