Детектор Mini Shai-Hulud

Однокомандный сканер для атаки на цепочку поставок npm Mini Shai-Hulud (CVE-2026-45321, CVSS 9.6).

Важно: обнаружение перед ротацией токенов

Червь устанавливает демон персистентности (gh-token-monitor), который выполняет rm -rf ~ при обнаружении отзыва учетных данных. Не ротируйте свой GitHub PAT или npm токен, пока не убедитесь, что демон удален. Обнаружение → удаление демона → затем ротация.

Использование

curl -fsSL https://raw.githubusercontent.com/prashanthnataraj/mini-shai-hulud-detector/main/shai-hulud-detector.sh | bash

Или сначала скачайте и проверьте (рекомендуется для любого скрипта, который вы передаете в оболочку):

curl -fsSL https://raw.githubusercontent.com/prashanthnataraj/mini-shai-hulud-detector/main/shai-hulud-detector.sh -o shai-hulud-detector.sh
# Прочитайте. Затем:
bash shai-hulud-detector.sh

Что проверяется

Коды возврата

Отсутствующий package-lock.json по замыслу возвращает ПОДОЗРИТЕЛЬНО — запустите сканирование после npm install.

Порядок устранения при ЗАРАЖЕНИИ

1. Немедленно отключитесь от сети.
2. НЕ выполняйте npm install, npm uninstall или git push.
3. Сначала удалите демон — вывод скрипта укажет точный путь.
4. Удалите файлы полезной нагрузки.
5. Только затем: переподключитесь и смените учетные данные (сначала GitHub PAT).
6. Переустановите: rm -rf node_modules && npm install --ignore-scripts.

Укрепление (стоит сделать независимо от результата сканирования)

Добавьте в .npmrc:

ignore-scripts=true
minimum-release-age=4320

Закрепите все GitHub Actions за полным хешем коммита, а не за версионным тегом.

О проекте

Написан после того, как команда Lume AI столкнулась с реальной атакой CVE-2026-45321 в мае 2026 года. Скрипт предназначен только для чтения — никаких сетевых вызовов после загрузки, никакой записи на диск. Перед запуском ознакомьтесь с исходным кодом.

Лицензия

MIT — см. LICENSE.