Shai-Hulud חוזרת: תולעת ב-npm פרסמה סודות של מפתחים ב-25 אלף מאגרי GitHub
ב-24 בנובמבר 2025 הזהירה Wiz מגל חדש של Shai-Hulud: חבילות npm של Zapier, PostHog ו-Postman הוחלפו בגרסאות זדוניות, ומעל 25 אלף מאגרי GitHub חשפו סודות שנגנבו.
TL;DR בקצרה
- ב-24 בנובמבר 2025 פרסמה Wiz שהגל השני של Shai-Hulud יצר מעל 25 אלף מאגרי GitHub זדוניים, כ-1,000 נוספים כל 30 דקות.
- הקוד הזדוני רץ בשלב preinstall, גונב טוקנים ואישורי ענן, ומעלה אותם למאגרי GitHub ציבוריים עם Shai-Hulud בתיאור.
- Socket מצאה גם חבילה מורעלת ב-Maven Central. צוות Maven Central ניקה את הרכיבים הפגועים עד 25 בנובמבר.
- ב-9 בדצמבר 2025 ביטלה GitHub את כל הטוקנים הקלאסיים של npm.
ב-24 בנובמבר 2025 פרסמה Wiz אזהרה: התולעת Shai-Hulud חזרה, והפעם דרך מאות חבילות ב-npm. לפי Wiz, מעל 25 אלף מאגרי GitHub זדוניים נוצרו בתוך כמה ימים. בהם סודות שנגנבו ממפתחים. התוקפים הגיעו לחבילות של Zapier, PostHog, Postman, ENS Domains ו-AsyncAPI.
Shai-Hulud: כך התולעת הגיעה לחבילות של Zapier ו-PostHog
הקמפיין התחיל ב-21 בנובמבר. עד 23 בנובמבר התוקפים כבר הטמינו קוד זדוני בחבילות, לפי Wiz ו-Aikido. התוקפים השתלטו על חשבונות של מתחזקי חבילות ופרסמו גרסאות מורעלות. הגרסאות האלה נראות כמו הפרסום הרשמי.
PostHog פרסמה ניתוח אחרי האירוע, ו-Socket מתארת אותו. תוקף פתח לרגע בקשת משיכה שהריצה סקריפט דרך ההגדרה pull_request_target. כך הוא גנב טוקן של בוט מתוך תהליך ה-CI. עם הטוקן הוא הגיע לסודות נוספים, ובהם טוקן הפרסום של npm.
התולעת גלשה גם מחוץ ל-npm. Socket מצאה ב-Maven Central את החבילה org.mvnpm:posthog-node:4.18.1 עם אותו מטען. החבילה נבנתה אוטומטית מגרסת npm, ו-PostHog לא פרסמה אותה בעצמה. ב-25 בנובמבר ניקה צוות Maven Central את הרכיבים הפגועים.
מה התולעת גונבת, ולמה שלב ה-preinstall משנה
הגרסה החדשה מריצה קוד בשלב preinstall, לפני שההתקנה מסתיימת. לפי Wiz, זה מגדיל את החשיפה בסביבות בנייה והרצה. הסקריפט מוריד את סביבת הריצה Bun ומפעיל סקריפט ענק ומעורפל בשם bun_environment.js. בשרת בנייה הוא רץ בזמן ההתקנה. על מחשב של מפתח הוא רץ ברקע, ואיש לא מרגיש.
אחר כך התולעת מחפשת סודות. היא קוראת קובצי הגדרות, משתני סביבה ואת שירות המטא-דאטה של הענן. היא שולפת סודות גם ממנהלי הסודות של AWS, GCP ו-Azure. הכול עולה למאגרי GitHub חדשים שבתיאור שלהם כתוב Shai-Hulud.
Wiz בדקה מדגם של כ-20 אלף מאגרים. היא מצאה 775 טוקנים של GitHub, 373 אישורי AWS, 300 אישורי GCP ו-115 אישורי Azure. ב-26 בנובמבר ראתה Wiz ניצול של מפתחות AWS ושל טוקני GitHub שדלפו. חלק מהטוקנים שימשו להורדת קוד ממאגרים פרטיים.
דלת אחורית ב-Shai-Hulud, ותגובה של GitHub
התולעת רושמת את המחשב כ-runner עצמאי של GitHub Actions בשם SHA1HULUD. היא גם מוסיפה workflow בשם discussion.yaml, שיש בו פגם הזרקה. לפי Wiz, פתיחת דיון במאגר יכולה להפעיל פקודות על המחשב הנגוע. Wiz לא ראתה שימוש בדלת הזאת בשטח. היא בדקה אותה בסביבת ניסוי.
בסביבות CI מסוימות התולעת גם מנסה להשיג הרשאות root. היא מריצה קונטיינר מורשה ומצמידה אליו את מערכת הקבצים של המארח. אחר כך היא מוסיפה כלל sudo בלי סיסמה.
בבוקר 26 בנובמבר, לפי שעון UTC, GitHub התחילה למחוק את המאגרים ולבטל טוקנים שדלפו. אחרי זה נשארו כ-300 מאגרים ציבוריים. Wiz מציינת שאין שיוך מאושר לגורם מסוים. הקמפיין דומה לגל הראשון מספטמבר 2025, שפגע במעל 500 חבילות, אבל אולי מאחוריו גורמים אחרים.
מה זה אומר עבורכם
- בדקו אם התקנתם: חפשו בקובץ ה-lockfile חבילות של Zapier, PostHog, Postman, ENS Domains ו-AsyncAPI. Wiz פרסמה רשימה מלאה במאגר ה-IOC שלה, בשם wiz-research-iocs.
- החליפו סודות: אם יש ספק, הפיקו מחדש טוקנים של npm ושל GitHub. החליפו גם מפתחות SSH ואישורי ענן. Wiz ממליצה גם על MFA עמיד לפישינג בחשבונות מפתחים.
- נקו וחזרו לגרסה ישנה: מחקו את node_modules ואת מטמון npm. קבעו גרסאות שפורסמו לפני 21 בנובמבר 2025.
- חפשו עקבות ב-GitHub: חפשו מאגרים חדשים עם Shai-Hulud בתיאור, ענפים בשם add-linter-workflow ו-runner בשם SHA1HULUD. בדקו גם פרסומים לא צפויים ב-npm תחת הארגון שלכם.
- הקשיחו את ה-CI: בטלו סקריפטים של התקנה בשרתי בנייה והגבילו גישה לרשת. השתמשו בטוקנים קצרי טווח.
מה קרה מאז
ב-9 בדצמבר 2025 הודיעה GitHub שביטלה לצמיתות את כל הטוקנים הקלאסיים של npm. לפי ההודעה, הפקודה npm login מנפיקה טוקן סשן לשעתיים, והפרסום דורש אימות דו-שלבי. ל-CI ממליצה GitHub על טוקנים מפורטים או על פרסום מהימן דרך OIDC.
מקורות והרחבה
- Shai-Hulud 2.0: Ongoing Supply Chain AttackWiz
- Shai-Hulud worm returns, belches secrets to 25K GitHub reposThe Register
- Shai Hulud Strikes Again (v2)Socket
- npm classic tokens revoked, session-based auth and CLI token management now availableGitHub
הכתבה נכתבה במקור בעברית על ידי מערכת GEEKLIK, על בסיס המקורות שלמעלה ובדיקת העובדות מולם.
מצאתם טעות? דווחו לנו
