Enkele dagen nadat TeamPCP de broncode van de Shai-Hulud worm op GitHub publiceerde, zijn de eerste klonen van deze malware opgedoken, meldt Ox Security. De Shai-Hulud worm werd voor het eerst ingezet in supply chain aanvallen op het open source software-ecosysteem in september 2025 en opnieuw in november, waarbij honderden NPM-pakketten werden getroffen en waarschijnlijk duizenden ontwikkelaars geïnfecteerd raakten. De malware is ontworpen om inloggegevens, API-sleutels, tokens en andere geheimen van geïnfecteerde systemen te stelen en zichzelf te verspreiden door zichzelf te injecteren in pakketten die door de slachtoffers worden onderhouden, waarna kwaadaardige versies namens hen worden gepubliceerd.

In april dook de worm opnieuw op in supply chain aanvallen die werden toegeschreven aan de TeamPCP hackinggroep, die sinds maart meerdere campagnes tegen de open source gemeenschap voerde, waaronder incidenten bij Trivy, Bitwarden, Checkmarx, SAP en TanStack. Vorige week verschenen er kortstondig verschillende repositories met de broncode van de Shai-Hulud worm op GitHub, vergezeld van een aankondiging van TeamPCP en BreachForums die kwaadwillenden aanspoorde de code te gebruiken in een supply chain challenge. Beveiligingsonderzoekers waarschuwden direct voor een toename in activiteit rondom de malware na de vrijgave van de broncode, waarna cybercriminelen snel aanpassingen maakten en de worm in nieuwe aanvallen begonnen te gebruiken.

Volgens Ox Security publiceerde een bedreigingsactor vier NPM-pakketten met infostealer malware, waaronder één met de Shai-Hulud code. Dit pakket, genaamd ‘chalk-tempalte’, is een directe kloon van de worm, gebruikt geen obfuscatie en implementeert een eigen command-and-control server en privésleutel. Analyse van de broncode toont dezelfde patronen als eerdere Shai-Hulud aanvallen, waaronder het uploaden van gestolen credentials naar een nieuwe GitHub repository. De andere drie pakketten, die gebruikmaken van typo-squatting om gebruikers van Axios te infecteren, verschillen van Shai-Hulud en bevatten onder andere malware die geïnfecteerde systemen in een DDoS-botnet opneemt. De vier pakketten, ‘@deadcode09284814/axios-util’, ‘axois-utils’, ‘chalk-tempalte’ en ‘color-style-utils’, worden gezamenlijk meer dan 2.600 keer per week gedownload.

Ox Security waarschuwt dat er nu één actor actief is met meerdere technieken en infostealer varianten die kwaadaardige code verspreiden via NPM, wat slechts de eerste fase lijkt te zijn van een nieuwe golf supply chain aanvallen die eraan komt.