Mini Shai-Hulud Scanner

一个免费、离线的扫描器，用于检测当前正在吞噬主要软件包的 npm/PyPI 供应链蠕虫。由 Intrudify 团队开发。无需注册，无遥测，完全离线运行。

NHS CC-4781 · CVE-2026-45321 (CVSS 9.6) · GHSA-g7cv-rxg3-hmpx

这是什么

如果你在过去几周内运行过 npm install 或 pip install，那么这与你相关。

特别是如果你接触过 @tanstack/*、@uipath/*、@mistralai/*、@cap-js/*，或者 PyPI 上的 litellm、mistralai、guardrails-ai、lightning、telnyx。这些是已被确认投毒的名称空间。共计 149 个软件包，目前已追踪到 400 多个恶意版本。

Mini Shai-Hulud 是造成破坏的蠕虫。它会窃取你的 npm 和 GitHub 凭据，在 macOS、Linux 和 Windows 上植入持久化机制，并且（大多数人忽略的部分）会留下一个经过篡改的令牌。如果在被感染的机器上撤销该令牌，它会触发 rm -rf ~/。你的主目录将不复存在。清理顺序至关重要。

此扫描器会检查所有 19 个已知的入侵指标，涵盖软件包、锁定文件、持久化机制、有效载荷哈希、C2 通信、Git 历史和 CI 环境。它仅读取，从不写入、删除或向外发送数据。

三个脚本，一个任务：Python、Bash、PowerShell。选择适合你技术栈的那个。

为什么我们构建这个

Intrudify 是欧洲第一家完全自主的 Web 应用 AI 渗透测试服务。核心理念很简单：输出与价值 3 万美元的人工渗透测试团队相同，交付时间缩短为几小时而非数周，并提供可审计的报告以及针对 NIS2、SOC2 和 ISO27001 的逐步修复指导。如果你发布代码但没有安全团队，这就是我们填补的空白。

这个扫描器正是其中的一部分。它是免费的，因为供应链蠕虫的传播速度比采购周期快得多。一个在晚上 11 点盯着 CVE 动态的开发者不需要销售电话。他们需要一个能在 30 秒内运行并告诉他们是否中招的工具。

对于主动入侵（CI/CD 管道劫持、GitHub Actions OIDC 令牌滥用、npm/PyPI 供应链应急响应），请直接联系我们：[email protected]

如果你在过去几周内安装了 npm 或 PyPI 软件包，尤其是来自 @tanstack/*、@uipath/*、@mistralai/*、@cap-js/* 或 PyPI 的 litellm、telnyx、lightning、mistralai、guardrails-ai 的任何内容，你的机器可能已被入侵。

Mini Shai-Hulud 蠕虫会窃取凭据，在 macOS、Linux 和 Windows 上植入持久化机制，如果你以错误的顺序进行清理，它可能会擦除你的主目录。

此扫描器会检查所有 19 个已知指标。它仅读取，从不写入、删除或向机器外部发送任何内容。

运行前：请先阅读

该蠕虫会植入一个经过篡改的 npm 令牌。在被感染的机器上撤销该令牌会触发 rm -rf ~/。顺序至关重要。

如果扫描器发现了严重发现，请按以下顺序操作：

1. 断开机器与网络的连接（拔掉网线或关闭 Wi-Fi）
2. 拍摄快照或磁盘镜像，再碰任何东西
3. 从另一台机器登录 npmjs.com 和 GitHub，并在那里撤销令牌
4. 然后清理被感染的机器

如何运行：3 个步骤

第 1 步：选择你的脚本

第 2 步：在你的项目文件夹中运行

# macOS / Linux
chmod +x scan_cc4781.sh
./scan_cc4781.sh --deep

# Windows PowerShell
.\scan_cc4781.ps1 -Deep

# Python（任何操作系统）
python3 scan_cc4781.py --deep

--deep / -Deep 标志会递归进入当前目录下的所有 node_modules。如果你有单体仓库或多个项目，建议使用此选项。

如果 PowerShell 阻止了该脚本：

powershell -ExecutionPolicy Bypass -File .\scan_cc4781.ps1 -Deep

第 3 步：读取结果

RESULT: 0 CRITICAL / 0 HIGH   →  你安全了
RESULT: X CRITICAL / Y HIGH   →  停止并先执行上述步骤，然后再做其他事情

CRITICAL = 确认的入侵指标。立即采取行动。 HIGH = 可疑。进行调查。某些 HIGH 发现是预期的误报（见下文）。

在干净机器上的预期输出

CC-4781 / Mini Shai-Hulud Supply-Chain Attack Scanner
Host: 你的主机名  OS: 你的操作系统
Checking 149 npm packages (400+ malicious versions), 5 PyPI packages

[OK]   gh-token-monitor process not detected
[HIGH] payload-artefact: sysmon.py  ->  .../coverage/sysmon.py    <- 误报：Python coverage 包
[HIGH] payload-artefact: execution.js  ->  .../n8n/.../execution.js  <- 误报：n8n
[OK]   git-tanstack.com does not resolve
[OK]   No malicious optionalDependencies github: references found
[OK]   No attacker exfil commits in git log

RESULT: 0 CRITICAL / 4 HIGH

sysmon.py 和 execution.js 的 HIGH 发现是误报：文件名匹配蠕虫的有效载荷名称，但 SHA-256 哈希不匹配。只有哈希匹配已确认恶意有效载荷时，才会触发 CRITICAL。

所有标志

JSON 输出格式：{ "host": "...", "findings": [{ "severity": "CRITICAL|HIGH", "category": "...", "detail": "...", "path": "..." }] }

扫描器检查的内容（19 个指标）

覆盖的攻击波次

重要提示： npm audit signatures 通过并不意味着你安全。Mini Shai-Hulud 是首个被记录的通过 GitHub Actions OIDC 管道劫持生成有效 SLSA Build Level 3 出处的攻击。签名验证的是构建出处，而非构建管道本身是否干净。

技术背景

该蠕虫使用三层混淆：obfuscator.io，然后是 Fisher-Yates 替换密码（PBKDF2-SHA256，20 万次迭代），最后是 AES-256-GCM。它通过 Session Protocol CDN、GitHub GraphQL 死信投递点、ICP 区块链容器以及 WAV 隐写术来窃取凭据。

持久化机制被植入为：macOS LaunchAgent、Linux systemd 单元、Windows 计划任务或 HKCU Run 键值、Claude Code SessionStart 钩子、VS Code folderOpen 任务，以及 Python .pth 启动文件。在被入侵的 CI 运行器上，它会植入一个 Kubernetes DaemonSet。

赎金令牌（IfYouRevokeThisTokenItWillWipeTheComputerOfTheOwner）与一个 gh-token-monitor 守护进程配对，该守护进程每 60 秒轮询 api.github.com/user。40x 响应会触发 macOS/Linux 上的 rm -rf ~/ 或 Windows 上的等效操作。

IOC 来源

汇总自 GHSA-g7cv-rxg3-hmpx、JFrog 安全研究、StepSecurity、Socket.dev、Wiz 威胁研究、Snyk、Aikido Security、Orca Security、Mend.io（截至 2026-05-13）。

检测规则：Sigma 5299fadf-f228-4526-8274-251db1960be9（Shai-Hulud 恶意 Bun 执行），Palo Alto ATP 签名 87120。

参考

• NHS CC-4781
• GHSA-g7cv-rxg3-hmpx
• CVE-2026-45321
• StepSecurity: Mini Shai-Hulud is back
• JFrog: Shai-Hulud here we go again
• Wiz: Mini Shai-Hulud strikes again

需要应对主动入侵的帮助？

Intrudify 专注于 npm/PyPI 供应链应急响应、CI/CD 管道劫持以及 GitHub Actions OIDC 令牌滥用。

联系方式：[email protected]  ·  intrudify.com