Видалення токсичного пакета безглузде: MiniShai-Hulud зачепив TanStack, OpenSearch і клієнт Mistral

Згідно з моніторингом Beating, шкідливий черв’як під назвою «Mini Shai-Hulud» (з «Дюни») активно поширюється у фронтенд- та AI-бекенд екосистемах. Зловмисники з TeamPCP у період з 3:20 до 3:26 ранку 12 травня (UTC+8) захопили офіційний конвеєр TanStack, на який було завантажено 84 зловмисних версій 42 офіційних пакетів, включаючи мільйонні щотижневі завантаження @tanstack/react-router. Після цього черв’як поширився на PyPI, і останні жертви включають Amazon @opensearch-project/opensearch (npm, 1,3 мільйона завантажень на тиждень), офіційний клієнт Mistral mistralai та інструмент AI-захисту guardrails-ai (усі — PyPI).

Зловмисні пакети виглядають ідентично до офіційних релізів. Зловмисники не викрали довгострокові облікові дані, а скористалися вразливістю у конфігурації GitHub Actions для захоплення офіційного конвеєра, отримавши тимчасові права на публікацію. Внаслідок цього зловмисні пакети отримали справжній підпис SLSA (provenance — доказ, що «пакет дійсно створений офіційним конвеєром»), що є засобом підробки. Логіка довіри до «підписано = безпечно», якою раніше користувалися розробники, була повністю обійдена.

Ще гірше, видалення шкідливого пакета недостатньо. Аналіз Socket.dev показав, що після встановлення черв’як у фоновому режимі записує себе у хуки виконання Claude Code (.claude/settings.json) та конфігурацію задач VS Code (.vscode/tasks.json). Навіть якщо шкідливий пакет буде видалено, при відкритті проекту або запуску AI-асистента зловмисний код автоматично відновиться. На стороні Python поріг запуску ще нижчий: розробник навіть не повинен викликати функції — просто імпорт зараженого пакета активує крадіжку даних у мовчазному режимі.

TeamPCP на фальшивому домені git-tanstack[.]com, що використовується для поширення, залишив саркастичний коментар: «Ми вже понад дві години крадемо облікові дані онлайн, але я просто прийшов привітати :^)». Черв’як продовжує самовідтворюватися і поширюватися. Машини, на яких було встановлено уразливі пакети у вказаний період, слід вважати зламаними: негайно змінити всі облікові дані AWS, GitHub, npm, SSH тощо, ретельно перевірити каталоги .claude/ та .vscode/, і переінсталювати пакети з чистого lockfile.