Mini Shai-Hulud sprer seg: 169 npm-pakker, Mistral AI, UiPath og PyPI rammet

Aikido og Socket talte 169 npm-pakkenavn og 373 ondsinnede versjoner ved 04:50 UTC 12. mai, 8,5 timer etter første treff klokken 19:20 mandag. Ti pakkenavnerom er rammet, inkludert @mistralai, @uipath, @squawk, @tallyui og @tanstack. Største klyngene er @squawk med 87 versjoner, @tanstack med 83 og @uipath med 66. På PyPI er guardrails-ai 0.7.4 og mistralai 1.10.1 også kompromittert, ifølge Lyrie Research.

Den faktiske trusselen er ikke pakkene i seg selv, men automatikken. Ormen stjeler GitHub Actions OIDC-tokens, npm-nøkler, AWS-kreditialer og Vault-tokens fra utviklermaskiner og CI-runnere, og republiserer seg selv under stjålet identitet.

«Første gang vi har sett en supply-chain-orm spre seg på tvers av npm og PyPI samtidig» — Aikido Security, blogginnlegg 12. mai

Angriperen har lagt igjen en signatur på git-tanstack.com: «TeamPCP», samme gruppen som sto bak SAP-bølgen i april.

For deg som bygger på Mistral via npm-SDK: @mistralai/mistralai-pakken er én av angrepsflatene. Bruker du Mistrals SDK i en webapp eller agent, kjører ondsinnede prepare-skript ved hver npm install, og lekker secrets fra både laptop og CI. PyPI-varianten er verre: koden kjører ved import, ikke ved install, så pip install --dry-run beskytter ikke.

Persistens på utviklermaskinen er nytt. Implantatet skriver seg til .claude/router_runtime.js og .vscode/tasks.json for å overleve omstart og avinstallering av pakken. Antagelsen om at å fjerne pakken er nok, holder ikke lenger. Du må sjekke filsystemet og auditere Claude Code- og VS Code-hooks etter mistanke om eksponering.

Hva bør du gjøre?

1. Skann lockfiles for rammet navnerom: grep -E "@tanstack/|@mistralai/|@uipath/|@squawk/|@tallyui/" package-lock.json pnpm-lock.yaml. Treff = stopp installasjonen.
2. Søk etter persistens-filer: find node_modules -name "router_init.js" og find ~/.claude -name "router_runtime.js". Hash bør matche ab4fcadaec49c03278063dd269ea5eef82d24f2124a8e15d7b90f2fa8601266c.
3. Roter alle credentials hvis du har installert noen av pakkene: npm-tokens, GitHub PATs, AWS-nøkler, Kubernetes service accounts og Vault-tokens. Forutsett at de er kompromittert.
4. Blokker egress mot filev2.getsession.org på perimeteret. Ormen ekfiltrerer via Session P2P med dette domenet som inngangspunkt.