Remover o pacote tóxico também não adianta: MiniShai-Hulud afeta TanStack, OpenSearch e clientes Mistral

De acordo com a monitorização do Beating, um cavalo de Troia de espionagem chamado «Mini Shai-Hulud» (do «Duna», no filme) está varrendo os ecossistemas front-end e back-end de IA. O atacante TeamPCP sequestrou, entre 3h20 e 3h26 (UTC+8) de 12 de maio, a pipeline oficial do TanStack, enviando ao npm 42 pacotes oficiais com 84 versões maliciosas, incluindo o @tanstack/react-router, com milhões de downloads semanais. Posteriormente, o cavalo de Troia se espalhou para o PyPI, com as últimas vítimas incluindo o Amazon @opensearch-project/opensearch (npm, 1,3 milhão de downloads semanais), o cliente oficial Mistral mistralai e a ferramenta de proteção AI guardrails-ai (todos no PyPI).

Os pacotes maliciosos parecem idênticos às versões legítimas. Os atacantes não roubaram credenciais de longo prazo, mas exploraram uma vulnerabilidade na configuração do GitHub Actions para sequestrar a pipeline oficial, obtendo permissões temporárias legítimas de publicação. Assim, os pacotes maliciosos receberam uma assinatura de origem SLSA verdadeira (provenance, uma etiqueta antifraude que prova que o pacote realmente foi produzido pela pipeline oficial). A lógica de confiança antiga, de que «pacote assinado = seguro», foi completamente contornada.

Mais grave ainda, desinstalar o pacote malicioso não é suficiente. Análises reversas do Socket.dev mostram que, após a instalação, o cavalo de Troia escreve seus scripts nos hooks de execução do Claude Code (.claude/settings.json) e na configuração de tarefas do VS Code (.vscode/tasks.json). Mesmo que o pacote seja removido, assim que o desenvolvedor abrir o projeto ou ativar o assistente de IA, o código malicioso se reativa automaticamente. No lado Python, a ativação é ainda mais fácil: basta importar o pacote infectado, sem precisar chamar qualquer função, para que o código de espionagem seja silenciosamente ativado.

TeamPCP deixou uma mensagem zombeteira na domínio falso git-tanstack[.]com, usado para distribuir a carga maliciosa: «Já roubamos credenciais por mais de duas horas online, mas só vim dar um oi :^)». O cavalo de Troia continua se espalhando por auto-replicação. Máquinas que instalaram os pacotes afetados durante o período de janela de ataque devem ser consideradas comprometidas: troque imediatamente todas as credenciais do AWS, GitHub, npm, SSH, etc., verifique as pastas .claude/ e .vscode/, e reinstale a partir de um lockfile limpo.