Ataque massivo ao ecossistema npm e GitHub expõe segredos e falhas na supply chain

O ataque Shai-Hulud 2.0, que a Check Point Software identificou como uma das campanhas mais extensas e perigosas dos últimos anos, é uma evolução de uma onda de ataques anterior do Shai-Hulud que começou em setembro de 2025. Num período de apenas 48 horas – entre 21 e 23 de novembro –, cibercriminosos comprometeram centenas de pacotes no repositório npm, afetando mais de 25 mil repositórios no GitHub.

Ao contrário de malware tradicional que só se ativa após a instalação, o Shai-Hulud 2.0 abusa do script de pré-instalação do npm, permitindo que o código malicioso seja executado antes mesmo de a instalação estar concluída, e até se a instalação falhar. Desta forma, o ataque infiltra-se nos ambientes de desenvolvimento e pipelines de integração contínua, comprometendo a segurança de todo o ciclo de desenvolvimento.

“O Shai-Hulud 2.0 mostra até que ponto a cadeia de software se tornou um alvo crítico. Hoje, basta uma única dependência comprometida para afetar milhares de repositórios em minutos. Este ataque prova que as equipas de desenvolvimento precisam de segurança contínua e integrada no pipeline, não apenas no fim do processo”, refere Rui Duro, Country Manager para Portugal da Check Point Software.

O payload malicioso utiliza um runtime alternativo, Bun, como vetor de evasão de deteção: um script chamado setup_bun.js instala o runtime, e com bun_environment.js é executada a lógica de recolha de credenciais e dados sensíveis, incluindo tokens npm/GitHub, chaves SSH e credenciais de serviços cloud (AWS, GCP, Azure). Os dados exfiltrados são enviados para repositórios públicos no GitHub, muitas vezes criados pelos próprios atacantes.

Foram identificadas cerca de 621 pacotes npm infetados, 25 mil repositórios GitHub comprometidos, 487 organizações afetadas e mais de 14 mil segredos expostos, dos quais cerca de 2.500 continuavam válidos após a propagação, incluindo credenciais de acesso, tokens, chaves e variáveis sensíveis. Além dos milhares de repositórios, a versão 2.0 comprometeu temporariamente pacotes importantes de projetos populares como Zapier, ENS Domains, PostHog e Postman.

O momento do ataque ocorreu pouco antes do prazo final do npm (9 de dezembro) para revogar os tokens clássicos e forçar a migração para métodos de publicação mais seguros.

Este incidente prova que os ataques à cadeia de abastecimento de software já não dependem de exploits sofisticados, mas sim de uma dependência “confiável” comprometida para causar compromissos em larga escala. A Check Point alerta que cada pacote ou dependência deve ser tratado como um potencial risco.