Das Paket mit dem Namen chalk-tempalte enthält laut OXsecurity einen Klon der Shai-Hulud-Malware, die der Hackergruppe TeamPCP zugeschrieben wird. Diese Gruppe gilt als verantwortlich für den jüngsten Lieferketten-Angriff „Mini Shai-Hulud". Der Quellcode war kürzlich auf GitHub aufgetaucht, begleitet von einer angeblich von TeamPCP stammenden Botschaft: „Auf ein Neues – das Gemetzel geht weiter. Ein Geschenk von TeamPCP."
Nach Einschätzung von OXsecurity stammen die aktuellen Pakete jedoch von einem anderen Akteur. Als Indiz führen die Forscher an, dass der Schadcode eine nahezu exakte Kopie des geleakten Quellcodes ohne jede Verschleierung sei. „Ein belastendes Indiz dafür, dass es sich um einen anderen Akteur als TeamPCP handelt, ist, dass der Shai-Hulud-Code eine fast exakte Kopie des geleakten Quellcodes ohne Verschleierungstechniken ist, was die finale Version optisch vom Original unterscheidet", erklärt das Unternehmen. chalk-tempalte sei damit der erste dokumentierte Shai-Hulud-Klon auf npm – allerdings kein ausgefeiltes Exemplar, sondern eine unveränderte Kopie des geleakten Codes ohne Schutzmechanismen.
Die Schadsoftware stiehlt Zugangsdaten, Geheimnisse, Wallet-Daten und Kontoinformationen und leitet diese an einen Command-and-Control-Server unter der Adresse 87e0bbc636999b[.]lhr[.]life weiter. Erhalten bleibt zudem die GitHub-Funktion des Originals: Gestohlene Zugangsdaten werden in öffentliche, automatisch erzeugte Repositories hochgeladen.
Unter den drei weiteren Paketen sticht „axois-utils" hervor. Es bringt neben der bei allen vier Paketen vorhandenen Datendiebstahl-Funktion zusätzlich DDoS-Fähigkeiten mit. Das Paket unterstützt HTTP-, TCP- und UDP-Floods sowie TCP-Reset-Angriffe; die Forscher fanden außerdem interne Verweise auf einen „Phantom-Bot".
Die Shai-Hulud-Kampagne durchlief seit September 2025 mehrere Ausbaustufen, bei denen Entwicklerdaten durch das Einschleusen von Malware in legitime Projekte erbeutet wurden. Nachdem Zugangsdaten von Konten mit Veröffentlichungsrechten gestohlen waren, landeten die abgegriffenen Informationen in öffentlichen GitHub-Repositories. Diese Kampagnen wurden der Gruppe TeamPCP zugeschrieben. In einem früheren Bericht hatte OXsecurity bereits festgestellt, dass Angreifer den Quellcode rasch kopierten und begannen, ihn um zusätzliche Funktionen zu erweitern.
Die vier Pakete kamen den Forschern zufolge zusammen auf 2.678 Downloads. OXsecurity rät Entwicklern, die infizierte npm-Pakete heruntergeladen haben, diese umgehend zu entfernen und ihre Zugangsdaten sowie API-Schlüssel auf den betroffenen Systemen zu erneuern.