Shai-Hulud espande la caccia: 469 percorsi per rubare segreti da AI, cloud e CI/CD

🛡️ Executive Summary

• Mini Shai-Hulud cerca ora segreti in 469 percorsi locali contro i 189 precedenti, ampliando soprattutto la raccolta sugli endpoint Linux degli sviluppatori.
• Il malware prende di mira configurazioni di Codex, Gemini, Cursor, OpenClaw, CI/CD, cloud e wallet crypto e può enumerare file appartenenti ad altri utenti.
• La nuova variante emerge dalla campagna keyv che ha coinvolto oltre 800 pacchetti npm e utilizza Ethereum per recuperare dinamicamente il proprio C2.

Shai-Hulud continua a trasformarsi da worm della supply chain npm in un vero sistema per la raccolta automatizzata delle identità digitali degli sviluppatori. Una variante di Mini Shai-Hulud analizzata da GitGuardian ha ampliato da 189 a 469 i percorsi nei quali cerca credenziali e file sensibili su Linux, Windows e macOS, aggiungendo configurazioni di strumenti AI come OpenAI Codex, Gemini, Cursor e OpenClaw, piattaforme CI/CD, provider cloud e wallet di criptovalute. La modifica emerge dalla nuova ondata iniziata con la compromissione di keyv 6.0.0 il 4 agosto 2026, propagatasi secondo i ricercatori attraverso più di 800 pacchetti npm e migliaia di versioni.

Da 189 a 469 percorsi: Shai-Hulud cerca segreti dove lavorano gli sviluppatori

La ricerca primaria di GitGuardian mostra che l’evoluzione più importante non riguarda l’aggiunta di nuovi moduli di raccolta, ma l’espansione della superficie esplorata da quelli già presenti. Il collector dedicato al filesystem passa da 189 posizioni hardcoded a 469, distribuite tra 290 percorsi Linux, 50 Windows e 129 macOS. Nella precedente versione i numeri erano rispettivamente 89, 12 e 88. Su Windows e macOS parte dell’espansione serve quindi a raggiungere capacità già presenti sul collector Linux; proprio su Linux, però, il salto è molto più significativo e porta il malware a cercare segreti ben oltre la home directory dell’utente corrente. La progressione conferma quanto già emerso quando Shai-Hulud aveva trasformato npm, GitHub e Grafana in una crisi sistemica della supply chain: l’obiettivo non è compromettere un singolo pacchetto, ma utilizzare ogni ambiente di sviluppo raggiunto per acquisire nuove credenziali e aprire ulteriori relazioni di fiducia.

Leggi anche: Shai-Hulud compromette 80 pacchetti TanStack sfruttando pipeline CI/CD e token OIDC

Codex, Gemini e Cursor entrano direttamente nella lista dei bersagli

La nuova versione fotografa un cambiamento importante negli endpoint degli sviluppatori: le configurazioni degli agenti AI sono ormai considerate depositi di credenziali al pari di .env, chiavi SSH e file cloud. GitGuardian identifica tra i nuovi target Cursor, OpenClaw, OpenAI Codex, OpenCode, Gemini e Hermes. Sul fronte CI/CD compaiono configurazioni di ArgoCD, Jenkins e CircleCI; per il cloud vengono aggiunti servizi come Hetzner, Alibaba Cloud e Tencent Cloud, mentre la raccolta crypto cerca materiale associato a Foundry, Brownie, Solana ed Electrum. È una conseguenza diretta dell’evoluzione delle workstation tecniche: strumenti AI, terminali intelligenti e agenti di coding devono autenticarsi verso modelli, repository e servizi esterni e finiscono inevitabilmente per concentrare token e configurazioni riutilizzabili. La compromissione delle toolchain AI tramite worm npm e configurazioni di Claude, Cursor e ambienti MCP aveva già mostrato come questi file possano trasformarsi da semplici preferenze applicative in un nuovo livello della superficie d’attacco.

I privilegi elevati permettono di cercare credenziali anche negli account amministrativi

La novità più pericolosa sul piano operativo riguarda l’uso dei privilegi disponibili sul sistema. Secondo GitGuardian, le precedenti versioni concentravano la ricerca sui file appartenenti all’utente corrente; la variante di agosto enumera invece contenuti associati a tutti gli utenti della macchina, compresi gli account amministrativi, quando il livello di privilegio ottenuto lo consente. Questo cambia radicalmente il valore di una singola infezione su un runner CI/CD, una workstation amministrativa o una macchina condivisa: un’esecuzione privilegiata può trasformarsi nella raccolta simultanea di credenziali appartenenti a più identità. L’effetto è particolarmente pericoloso nelle pipeline, dove lo stesso runner può avere accesso a repository GitHub, registry dei container, infrastrutture Kubernetes e provider cloud. La logica era già visibile con IronWorm, capace di combinare npm, GitHub, furto di credenziali e rootkit eBPF: l’endpoint dello sviluppatore non rappresenta più la fine dell’attacco, ma il punto dal quale ottenere autorità riutilizzabile contro altri sistemi.

La campagna keyv supera 800 pacchetti e scarica il payload attraverso Bun

La variante analizzata viene collegata alla compromissione di [email protected], pubblicata in versione malevola alle 09:35 UTC del 4 agosto 2026. Da quel punto la catena si è propagata su più di 800 pacchetti e migliaia di versioni, raggiungendo anche namespace associati a società come OneReach, Ornikar, Qlik e Picsart. L’ultimo pacchetto malevolo conosciuto della sequenza è stato pubblicato alle 00:27 UTC del 5 agosto. L’esecuzione utilizza un classico script preinstall, che scarica il runtime Bun e avvia un secondo stage JavaScript pesantemente offuscato denominato Math_Symbol.js. Una volta deoffuscato, il codice conserva le caratteristiche distintive della famiglia Mini Shai-Hulud: ricerca di segreti locali e remoti, targeting degli endpoint developer e dei runner CI/CD, esfiltrazione verso GitHub e persistenza tramite manipolazione delle configurazioni di Claude e VS Code. Il modello deriva dal codice pubblicato da TeamPCP nel maggio 2026, evento che ha permesso ad attori differenti di riutilizzare e modificare più rapidamente il framework.

Ethereum diventa il resolver del C2 e separa il malware dall’infrastruttura

La variante aggiunge anche un meccanismo di command and control basato sulla blockchain Ethereum. Invece di conservare staticamente nel payload l’indirizzo del server operativo, il malware può recuperare dalla blockchain l’informazione necessaria per raggiungere il C2. GitGuardian segnala che questo sistema non era presente nelle precedenti versioni Mini Shai-Hulud, pur essendo già comparso in altre famiglie come GlassWorm. L’utilità per l’attaccante è evidente: un dominio sequestrato o bloccato può essere sostituito modificando il riferimento esterno senza ridistribuire necessariamente tutto il malware. Lo stesso schema di resilienza è comparso in numerose campagne recenti, nelle quali blockchain e servizi pubblici vengono trasformati in resolver o dead-drop. Il worm Miasma e le successive evoluzioni dell’ecosistema Shai-Hulud hanno dimostrato che la competizione tra difensori e attaccanti si sta spostando dal singolo package malevolo alla sopravvivenza dell’intera infrastruttura di propagazione.

npm 12 spezza il preinstall automatico ma non risolve il problema delle credenziali

La nuova ondata incontra un ecosistema npm che nel frattempo ha introdotto una contromisura strutturale. npm 12, disponibile generalmente dall’8 luglio, disattiva per impostazione predefinita gli script preinstall, install e postinstall delle dipendenze finché non vengono esplicitamente autorizzati dal progetto. GitHub ha introdotto il cambiamento proprio perché gli attaccanti sfruttavano gli install script per eseguire codice e sottrarre credenziali nel momento stesso in cui una dipendenza veniva scaricata. La decisione di npm 12 di bloccare gli script automatici riduce quindi direttamente l’efficacia del vettore utilizzato dalla campagna keyv sui sistemi aggiornati e configurati con i nuovi default. Ma non elimina il problema fondamentale: organizzazioni che autorizzano script senza revisione, utilizzano client precedenti o assorbono dipendenze attraverso workflow differenti possono ancora esporre token capaci di consentire all’aggressore di muoversi lateralmente nella supply chain.

Continua con:

• LiteLLM compromesso espone credenziali cloud, SSH, Kubernetes e database
• Google avverte che gli attacchi alla supply chain open source continueranno a crescere

Rotare i segreti conta più della semplice rimozione del pacchetto malevolo

Il salto da 189 a 469 percorsi mostra perché la remediation non può fermarsi alla ricerca del package compromesso. Una volta eseguito Shai-Hulud, ogni token GitHub, chiave cloud, credenziale CI/CD o secret appartenente agli strumenti AI raggiungibili deve essere considerato potenzialmente esposto e valutato in base a validità, privilegi e ambiente raggiungibile. GitGuardian indica come priorità la costruzione di un inventario delle credenziali realmente presenti negli endpoint, la rotazione di quelle ancora valide e la sostituzione delle chiavi statiche con credenziali temporanee e privilegi minimi dove possibile. Il principio è più importante del numero 469: la prossima variante può aggiungere altri cento percorsi senza cambiare sostanzialmente il modello offensivo. Shai-Hulud non deve necessariamente violare ogni relazione di fiducia della supply chain: gli basta trovare le chiavi con cui sviluppatori, pipeline, cloud e agenti AI si fidano già gli uni degli altri.