Farlig malware-angrep rammer hundrevis av åpen kildekode-pakker

Hundrevis av pakker infisert i storstilt angrep på åpen kildekode

Et nyoppdaget malware-angrep, kalt «mini Shai-Hulud», har infisert hundrevis av programvarepakker på store åpen kildekode-registre. Angrepet innebærer at skadelig kode for å stjele legitimasjonsinformasjon har blitt integrert i utviklerverktøy som lastes ned millioner av ganger ukentlig.

Store registre og populære biblioteker rammet

Angrepet har særlig rammet kjente biblioteker som TanStack, UiPath og MistralAI. TanStacks React Router-pakke alene har over 12 millioner ukentlige nedlastinger, noe som betyr at den skadelige koden har fått stor utbredelse i moderne bedriftsprogramvare.

Etter oppdagelsen har TanStack fjernet alle kompromitterte versjoner fra sitt register. Selv om det ikke er bevis for at registrepassord har blitt stjålet, oppfordrer eksperter alle som har lastet ned de berørte verktøyene mandag til umiddelbart å skifte ut alle tilknyttede skytjeneste-, server- og utviklerlegitimasjoner. Dette inkluderer tjenester som Amazon Web Services, Google Cloud og GitHub.

Systematisk sårbarhet i automatisert programvarepublisering

Angrepet avdekker en alvorlig svakhet i den automatiserte programvarepubliseringsprosessen. De kompromitterte oppdateringene klarte å omgå tofaktorautentisering og hadde kryptografisk gyldige signaturer som bekreftet at pakkene stammet fra riktige kontinuerlige integrasjonsrørledninger. Likevel oppdaget ikke systemene at integrasjonsrørledningene selv hadde blitt manipulert til å godkjenne skadelig kode.

Cyberkriminelle gruppe bak angrepet

Sikkerhetsforskere knytter kampanjen til gruppen TeamPCP, en cyberkriminell gruppe med fokus på skyløsninger som dukket opp sent i 2025. Gruppen spesialiserer seg på automatiserte angrep på leverandørkjeden og utnyttelse av skybasert infrastruktur, inkludert Docker og Kubernetes-miljøer.

TeamPCP antas å ha vært involvert i utviklingen av den tidligere malwareen Shai Hulud. Gruppen er kjent for sin evne til å gjemme seg bak avanserte teknikker, som å kamuflere stjålet data som anonym meldingstrafikk, og for aggressive utpressingsmetoder. Blant taktikkene inngår trusler om å slette offerets datamaskin fullstendig dersom de forsøker å fjerne hackernes tilgang.

Orfane commits utløste automatisk distribusjon

Angriperne utløste den automatiserte distribusjonsprosessen ved hjelp av en «orfan commit» – kode som ble skjøvet til en repository-fork uten tilhørende gren. Dette gjorde det mulig for dem å utnytte for vide tillatelser i GitHub Actions-workflows. Malwareen ble deretter levert via en skjult avhengighet som hentet en tungt obfuskert 2,3 MB stor payload, forkledd som et initialiseringsmodul.

Malwareen stjeler legitimasjonsinformasjon og infiltrerer skytjenester

Når malwareen aktiveres, bruker den Bun – en høyhastighetsmotor for kjøring av JavaScript – til systematisk å stjele sikkerhetsnøkler og passord. Den retter seg mot høyt sikrede skytjenester, inkludert AWS, Google Cloud Platform, Kubernetes og HashiCorp Vault. Koden er designet for å infiltrere svært sikre Amazon-skyer, samtidig som den gjennomsøker utviklerens lokale datamaskin etter hemmelige filer og SSH-nøkler som brukes til å låse opp andre bedriftssystemer.

Som en selvforplantende orm publiserer malwareen kopier av seg selv til andre prosjekter, og kamuflerer aktiviteten som automatiserte commits fra den kjente Anthropic Claude-roboten. I tillegg genererer malwareen et nytt registertoken med en utpressingsmelding i beskrivelsen, der det trues med fullstendig sletting av offerets datamaskin dersom tilgangen blir trukket tilbake.

Begrenset spredning, men alvorlig trussel

Til tross for malwareens avanserte egenskaper, har forskere ikke sett stor spredning av den så langt. «Vi observerte svært begrenset spredning i samfunnet», uttalte Charlie Eriksen, sikkerhetsforsker hos applikasjonssikkerhetsfirmaet Aikido Security. Gruppen fortsetter imidlertid å overvåke situasjonen nøye for å forhindre ytterligere skade.

Hva bedrifter og utviklere bør gjøre nå

• Skift ut alle berørte passord umiddelbart, inkludert skytjenester, servere og utviklerkontoer.
• Sjekk om dere har brukt noen av de kompromitterte pakkene (se liste over berørte versjoner fra TanStack og andre registre).
• Gjennomgå tillatelser i GitHub Actions og andre CI/CD-verktøy for å fjerne overflødige rettigheter.
• Overvåk systemene for mistenkelig aktivitet, spesielt rundt autentiseringsnøkler og tilgang til skytjenester.
• Vurder å implementere strengere kontroll på automatiserte publiseringsprosesser for å hindre lignende angrep i fremtiden.