Shai-Hulud kam erstmals im September 2025 in Lieferketten-Angriffen gegen das Open-Source-Ökosystem zum Einsatz und dann erneut im November. Die Kampagnen trafen Hunderte NPM-Pakete und infizierten vermutlich Tausende Entwickler. Das Schadprogramm stiehlt Zugangsdaten, API-Schlüssel, Tokens und weitere Geheimnisse und nutzt diese zur Selbstverbreitung: Es schleust sich in Pakete ein, die von den Opfern betreut werden, und veröffentlicht in deren Namen bösartige Versionen.
Im April tauchte der Wurm erneut auf, in Lieferketten-Angriffen, die der Gruppe TeamPCP zugeschrieben werden. Seit März führte diese Gruppe mehrere Kampagnen gegen die Open-Source-Gemeinschaft durch, darunter die Vorfälle rund um Trivy, Bitwarden, Checkmarx, SAP und TanStack.
Kürzlich erschienen mehrere Repositories mit dem Quellcode des Shai-Hulud-Wurms kurzzeitig auf GitHub. Begleitet wurde die Veröffentlichung von einer Ankündigung von TeamPCP und BreachForums, die andere dazu aufrief, den Code in einer Art Lieferketten-Wettbewerb einzusetzen.
Laut Ox Security veröffentlichte ein Angreifer vier NPM-Pakete mit Infostealer-Schadcode, eines davon mit dem Shai-Hulud-Code. Das Paket trägt den Namen „chalk-tempalte“, ist ein direkter Klon des Wurms, verzichtet auf Verschleierung und bringt einen eigenen Command-and-Control-Server sowie einen eigenen privaten Schlüssel mit.
„Bei der Analyse des Quellcodes sind dieselben Muster wie bei früheren Shai-Hulud-Angriffen sofort erkennbar, wie zu erwarten war. Dazu gehört das Hochladen gestohlener Zugangsdaten in ein neues GitHub-Repository“, erklärt Ox Security.
Die drei weiteren Pakete des Angreifers nutzen Typosquatting, um Nutzer von Axios zu infizieren, und unterscheiden sich von Shai-Hulud. Eines davon bindet die infizierten Maschinen in ein DDoS-Botnetz (Distributed Denial of Service) ein. Die vier Pakete „@deadcode09284814/axios-util“, „axois-utils“, „chalk-tempalte“ und „color-style-utils“ kommen zusammen auf über 2.600 Downloads pro Woche.
„Wir sehen jetzt einen einzelnen Akteur mit mehreren Techniken und verschiedenen Infostealer-Typen, der Schadcode auf NPM verbreitet – und das ist erst die erste Phase einer bevorstehenden Welle von Lieferketten-Angriffen“, warnt Ox Security.