Eliminar el paquete tóxico tampoco sirvió: MiniShai-Hulud afecta a TanStack, OpenSearch y al cliente Mistral

Según la monitorización de Beating, un gusano espía llamado «Mini Shai-Hulud» (del «Dune»), está arrasando en los ecosistemas frontend y backend de IA. El atacante TeamPCP secuestró la línea de producción oficial de TanStack entre las 3:20 y las 3:26 (UTC+8) del 12 de mayo, y subió 84 versiones maliciosas de 42 paquetes oficiales a npm, incluyendo @tanstack/react-router, con millones de descargas semanales. Posteriormente, el gusano se propagó a PyPI, con las últimas víctimas incluyendo Amazon @opensearch-project/opensearch (npm, 1.3 millones de descargas semanales), el cliente oficial de Mistral mistralai y la herramienta de protección AI guardrails-ai (todos en PyPI).

Los paquetes maliciosos parecen iguales a los publicados legítimamente. Los atacantes no robaron credenciales a largo plazo, sino que aprovecharon una vulnerabilidad en la configuración de GitHub Actions para secuestrar la línea de producción oficial y obtener permisos temporales de publicación legítimos. Como resultado, los paquetes maliciosos obtuvieron firmas de origen SLSA reales (provenance, una etiqueta antifalsificación que certifica que el paquete proviene realmente de la línea de producción oficial). La lógica de confianza previa de los desarrolladores —«firma = seguridad»— fue completamente eludida.

Lo más grave es que desinstalar los paquetes maliciosos no es suficiente. Análisis inverso de Socket.dev muestra que, tras la instalación, el gusano se escribe en los ganchos de ejecución de Claude Code (.claude/settings.json) y en la configuración de tareas de VS Code (.vscode/tasks.json). Incluso si se eliminan los paquetes maliciosos, basta con que el desarrollador abra el directorio del proyecto o active el asistente de IA para que el código malicioso se reactive automáticamente. En Python, el umbral de activación es aún menor: solo con importar el paquete infectado, el código espía se activa en silencio.

TeamPCP dejó un mensaje irónico en el dominio falso git-tanstack[.]com utilizado para distribuir la carga: «Ya hemos robado credenciales en línea durante más de dos horas, pero solo vine a saludar :^)». El gusano sigue propagándose por sí mismo. Las máquinas que hayan instalado paquetes afectados durante el período mencionado deben considerarse comprometidas: cambiar inmediatamente todas las credenciales de AWS, GitHub, npm, SSH, etc., revisar en profundidad los directorios .claude/ y .vscode/, y reinstalar desde un lockfile limpio.