OX Security опубликовала технический разбор инцидента с вариантом Shai-Hulud «Trinitite: Sponsored by Preview 2 Effects». Из материала читатель узнает о затронутом npm-пакете, масштабе заражения, технических изменениях, мерах реагирования и индикаторах компрометации.

Вариант содержит тот же код и сигнатуры, что и исходная открытая версия вредоносного ПО. Новые открытые ключи усложняют его привязку к конкретной группе или прежнему варианту.

OX Security оценивает масштаб как один затронутый пакет с 128 223 совокупными еженедельными загрузками. Исследователи нашли девять публичных репозиториев GitHub с характерной строкой, принадлежавших одному пользователю.

Вредоносное ПО умеет загружать новый C2-пейлоад с удалённого сервера, но в этом варианте эту возможность ещё не применяли. Авторы рекомендуют сменить ключи, включить двухфакторную аутентификацию, откатить затронутые пакеты до безопасной версии и считать заражённую машину полностью скомпрометированной.

Проверка утверждений:

  • OX Security опубликовала материал об инциденте и технический разбор варианта Shai-Hulud «Trinitite: Sponsored by Preview 2 Effects», который даёт читателю сведения о затронутом npm-пакете, масштабе заражения, технических изменениях, мерах реагирования и индикаторах компрометации. (подтверждено первоисточником: доказательство; «TeamPCP went to jail, but the spirit of Shai-Hulud lives on: @7nohe/openapi-react-query-codegen was compromised, 128k weekly downloads affected»)
  • Исследователи OX Security сообщают, что менее чем через сутки после ареста создателей TeamPCP новый вариант Shai-Hulud попал в npm и скомпрометировал генератор TanStack Query @7nohe/openapi-react-query-codegen. (подтверждено первоисточником: доказательство; «Less than 24h of TeamPCP’s creators arrest in Australia, a new Shai-Hulud malware variant hits npm, specifically compromising @7nohe/openapi-react-query-codegen, a TanStack query generator package.»)
  • По данным OX Security, вариант содержит тот же код и сигнатуры, что и исходная открытая версия вредоносного ПО, и очень похож на июньскую компрометацию Red Hat; новые открытые ключи усложняют привязку к конкретной группе или прежнему варианту. (подтверждено первоисточником: доказательство; «This malware is a variant of the Shai-Hulud malware, now containing the string “Trinitite: Sponsored by Preview 2 Effects”, it contains the same code and signatures as the original open sourced version of the malware, which is highly similar to the Red Hat compromise we’ve seen in June. The malware is bundled yet with a few new public encryption keys, which makes attribution to a specific hacking group or a previous Shai-Hulud variant much harder.»)
  • Затронуты версии @7nohe/openapi-react-query-codegen 0.5.4, 0.5.5, 1.6.3, 1.6.4, 2.2.1, 2.2.2, 3.0.3 и 3.0.4, установленные в период 28–29 августа 2026 года. (подтверждено первоисточником: доказательство; «Anyone who installed a new version of @7nohe/openapi-react-query-codegen during the exposure period – 0.5.4, 0.5.5, 1.6.3, 1.6.4, 2.2.1, 2.2.2, 3.0.3, 3.0.4, and during August 28-29 2026.»)
  • OX Security оценивает масштаб как один затронутый пакет с 128 223 совокупными еженедельными загрузками и девять публичных GitHub-репозиториев с характерной строкой, принадлежавших одному пользователю. (подтверждено первоисточником: доказательство; «1 affected package. Total accumulated weekly downloads – 128,223 9 public GitHub repositories containing the “Trinitite: Sponsored by Preview 2 Effects” string, all from the same user.»)
  • Авторы рекомендуют сменить ключи, включить двухфакторную аутентификацию, откатить затронутые пакеты до безопасной версии и считать заражённую машину полностью скомпрометированной. (подтверждено первоисточником: доказательство; «Rotate your keys and add 2FA to your accounts Downgrade the affected packages to a safe version Treat the affected machine as fully compromised»)
  • Похищенные данные отправлялись в зашифрованном виде в новый GitHub-репозиторий; по сравнению с другими вариантами Shai-Hulud Mini имя JSON-файла сменилось с «results» на «doubletrinnys», а сообщение коммита — на «meow meow meow». (подтверждено первоисточником: доказательство; «The infection is similar to what we’ve seen in the other Shai-Hulud Mini variants, where the stolen information is sent encrypted to a new repository in GitHub – but with two small changes – The JSON filename changed from “results” to “doubletrinnys” “meow meow meow” – a cat reference in the commit message itself.»)
  • В первой стадии вредоносного кода Bun обновлён до версии 1.4.0, вызов eval() заменён на Function, а для деобфускации вместо ROT применяется XOR. (подтверждено первоисточником: доказательство; «The malware was updated to use Bun 1.4.0 The malware’s 1st stage obfuscated code, bundled inside the hijacked packages now contains a more obfuscated code, which removed the use of eval() in favor of Function for their code execution logic, and the use of XOR instead of ROT for deobfuscation.»)
  • Вредоносное ПО содержит логику загрузки нового C2-пейлоада с удалённого сервера, но, по данным исследования, в этом варианте она ещё не была применена на практике. (подтверждено первоисточником: доказательство; «The malware also contains logic to download a new C2 payload from the remote server, according to our research, this logic is yet to be weaponized in this variant.»)
  • Материал приводит индикаторы компрометации, включая строку «Trinitite: Sponsored by Preview 2 Effects», сообщение n1ggatr1n, путь /var/tmp/.shit, имя GitHub Actions «ClaudeCode Review» и домен poopy[.]com. (подтверждено первоисточником: доказательство; «Trinitite: Sponsored by Preview 2 Effects n1ggatr1n /var/tmp/.shit IfYouRevokeThisTokenYourABadUser Visit69WykenAveForFreeiPod name: ClaudeCode Review poopy[.]com»)

Первоисточники:

оценка 78.1 · тип incident · ревизия 1 · истории st-mtdok9