De recent gelekte Shai-Hulud malware wordt nu ingezet in een nieuwe campagne gericht op het Node Package Manager (npm) ecosysteem. Afgelopen weekend werden meerdere geïnfecteerde pakketten ontdekt die via het npm-register werden verspreid. Een dreigingsactor met het account deadcode09284814 publiceerde vier kwaadaardige pakketten, waarvan één een niet-geobfusceerde versie van Shai-Hulud bevatte. Deze malware richt zich op het stelen van ontwikkelaarscredentials, geheimen, cryptowalletgegevens en accountinformatie.

Alle malafide pakketten bevatten routines die informatie exfiltreren, zoals inloggegevens en configuratiebestanden. Eén pakket veranderde het systeem daarnaast in een bot voor gedistribueerde denial-of-service (DDoS) aanvallen. Onderzoekers van OXsecurity, een bedrijf gespecialiseerd in applicatiebeveiliging van code tot runtime, ontdekten de kwaadaardige uploads en constateerden dat de dreigingsactor gebruikmaakte van typosquatting met verkeerd gespelde namen gericht op gebruikers van Axios, naast enkele generieke namen. De pakketten heetten onder andere chalk-tempalte (een Shai-Hulud kloon), @deadcode09284814/axios-util (credential- en cloudconfiguratiesteler), axois-utils (infostealer met persistente DDoS-bot) en color-style-utils (basis infostealer gericht op cryptowallets en IP-informatie).

Volgens de onderzoekers bevat het pakket chalk-tempalte een kloon van de Shai-Hulud malware die wordt toegeschreven aan de hacker groep TeamPCP, verantwoordelijk voor de recente Mini Shai-Hulud software supply-chain aanval. De malware verscheen vorige week op GitHub met een bericht van TeamPCP: "Here We Go Again - Let the Carnage Continue. A Gift from TeamPCP." Dit pakket is het eerste gedocumenteerde voorbeeld van een Shai-Hulud kloon die op npm is ingezet. Het betreft geen geavanceerde variant, maar een vrijwel ongewijzigde kopie van de gelekte broncode zonder enige vorm van obfuscatie. OXsecurity merkt op dat dit erop wijst dat het hier om een andere actor gaat dan TeamPCP zelf, aangezien de originele malwarecode juist sterk geobfusceerd is.

De malware steelt credentials, geheimen, cryptowalletgegevens en accountinformatie en exfiltreert deze naar een command-and-control server op 87e0bbc636999b[.]lhr[.]life. De code behoudt ook functionaliteit om gestolen gegevens te uploaden naar publieke, automatisch gegenereerde GitHub repositories. Van de overige pakketten valt axois-utils op doordat het naast infostealing ook DDoS-capaciteiten bevat, waaronder HTTP-, TCP- en UDP-floods en TCP reset-aanvallen. Interne verwijzingen wijzen op een "phantom bot" die deel uitmaakt van het botnet.

De Shai-Hulud campagne kent meerdere iteraties sinds september 2025, waarbij ontwikkelaarsdata werd gestolen door malware in legitieme projecten te injecteren. Na het stelen van credentials met publicatierechten werden de gegevens openbaar gemaakt in publieke GitHub repositories. Deze campagnes worden toegeschreven aan de hacker groep TeamPCP. Eerder meldde OXsecurity dat dreigingsactoren de malwarebroncode snel kopieerden en aanpasten om de functionaliteit uit te breiden. Zij adviseren ontwikkelaars die geïnfecteerde npm-pakketten hebben gedownload deze onmiddellijk te verwijderen en hun credentials en API-sleutels te roteren op getroffen systemen. De vier pakketten werden gezamenlijk ruim 2.600 keer gedownload.

Meer informatie over de malware en de campagne is te vinden in het onderzoek van OXsecurity.