Op 24 november werd de terugkeer van de Shai-Hulud supply chain-aanval aangekondigd, bekend als 'The Second Coming'. Microsoft legt uit dat Shai-Hulud 2.0 kan worden tegengehouden. Deze campagne bouwt voort op eerdere aanvallen, maar introduceert meer automatisering en richt zich op een breder scala aan doelen. Kwaadaardige code wordt uitgevoerd tijdens de preinstall-fase van geïnfecteerde npm-pakketten, voordat tests of beveiligingscontroles plaatsvinden. Aanvallers hebben maintainer-accounts van populaire projecten zoals Zapier, PostHog en Postman gecompromitteerd. Gestolen inloggegevens worden naar openbare repositories gestuurd die door aanvallers worden beheerd, wat verdere compromissen kan veroorzaken. Microsoft benadrukt dat traditionele netwerkverdedigingen niet voldoende zijn tegen aanvallen die zijn ingebed in vertrouwde package-workflows. Gecompromitteerde inloggegevens stellen aanvallers in staat om privileges te verhogen en zich lateraal te verplaatsen over cloud-workloads.

Verschillende npm-pakketten werden gecompromitteerd toen dreigingsactoren een preinstall-script genaamd set_bun.js toevoegden aan de package.json. Dit script controleerde op een bestaande Bun runtime-binary en installeerde deze indien nodig. Bun werkt vergelijkbaar met Node.js. De Bun-runtime voerde vervolgens het kwaadaardige script bun_environment.js uit, dat een GitHub Actions Runner-archief downloadde en installeerde. Dit archief bevatte extra bestanden zoals TruffleHog en Runner.Listener executables. TruffleHog werd gebruikt om het systeem te doorzoeken naar opgeslagen inloggegevens en cloud-credentials. Microsoft Defender for Containers waarschuwde klanten met de melding "Suspicious usage of the shred command on hidden files detected". Microsoft introduceerde ook een specifieke waarschuwing voor deze campagne: "Sha1-Hulud Campaign Detected – Possible command injection to exfiltrate credentials". In sommige gevallen werden commits naar nieuwe repositories uitgevoerd onder de naam "Linus Torvalds". Dit benadrukt de noodzaak van commit signature verification om te bevestigen wie een commit heeft gemaakt. De impact van Shai-Hulud 2.0 bleek groter dan verwacht, met grote hoeveelheden gestolen data die via tienduizenden GitHub-repositories openbaar werden gemaakt. Ongeveer 400.000 ruwe secrets werden gestolen, variërend van toegangstokens tot configuratiegegevens. De aanval raakt de volledige ontwikkelketen, van lokale machines tot geautomatiseerde CI-omgevingen. Veel infecties waren gerelateerd aan GitHub Actions, gevolgd door andere CI-platformen zoals Jenkins, GitLab CI en AWS CodeBuild. Microsoft raadt aan om Key Vault-assets te controleren en blootgestelde credentials snel te resetten. Getroffen CI/CD-agents moeten worden geïsoleerd en onnodige rollen en permissies moeten worden verwijderd. Voor npm-maintainers adviseert Microsoft om npm trusted publishing te gebruiken en tweefactorauthenticatie te vereisen. Microsoft raadt ook aan om cloud-delivered protection en automatische sample submission in te schakelen op Microsoft Defender Antivirus. Attack surface reduction rules moeten worden ingeschakeld om uitvoerbare bestanden te blokkeren tenzij ze voldoen aan bepaalde criteria. Defender for Cloud-klanten kunnen cloud security explorer gebruiken om mogelijk gecompromitteerde softwarepakketten te identificeren.