答え公開済み2 週間前Last edited 2 週間前16 ソース

Shai‑Hulud公開で広がったnpmマルウェア連鎖

2026年5月、TeamPCPがnpmワーム「Shai‑Hulud」のソースコードを公開し、さらにBreachForumsで約1,000ドルの賞金付きコンテストを実施したことでコピーキャット攻撃が急増した。[2][20] 公開後すぐに「chalk tempalte」などのタイポスクワッティング型の悪意あるnpmパッケージが確認され、Shai‑Huludのクローンも含まれていた。[1] このマルウェアはクラウド資格情報やCI/CDシークレットを盗み、取得したメンテナートークンを使って他のnpmパッケージへ自己拡散するワーム型攻撃を行う。[12][13]

Studio Global AIで検索して事実確認さらにトレンドページを見る

1.6M0

Concept illustration of a software supply chain attack spreading through npm packages — How did TeamPCP’s public release of the Shai-Hulud npm supply chain worm source code and its BreachForums contest lead to rapid copycat npmThe Shai‑Hulud campaign demonstrated how a single malicious package can propagate through the npm ecosystem and compromise developer infrastructure.
AI プロンプト
Create a landscape editorial hero image for this Studio Global article: How did TeamPCP’s public release of the Shai-Hulud npm supply chain worm source code and its BreachForums contest lead to rapid copycat npm. Article summary: TeamPCP turned Shai-Hulud from a campaign-specific worm into a reusable attack kit: it published alleged source code, then paired it with a BreachForums contest that rewarded package compromises, lowering the barrier for. Topic tags: general, general web. Reference image context from search candidates: Reference image 1: visual subject "The hacking group is encouraging miscreants to use the code in supply chain attacks, promising monetary rewards. **The infamous****TeamPCP** **hacking group that besieged the open" source context "TeamPCP Ups the Game, Releases Shai-Hulud Worm's ..." Reference image 2: visual subject "Property 1=Software supply chain security 1.
openai.com

オープンソースのエコシステム、特に npm のようなパッケージレジストリは「信頼」を前提に成り立っています。開発者は日常的に、見知らぬメンテナーが公開した何千ものパッケージをインストールしています。

しかし Shai‑Hulud と呼ばれるnpmサプライチェーン攻撃は、その前提がどれほど脆いかを示しました。2026年5月、攻撃グループ TeamPCP がこのワームのソースコードを公開したことで、単一の攻撃キャンペーンだったものが、誰でも使える「攻撃キット」へと変わったのです。

その結果、コピーキャットによる悪意あるnpmパッケージの投稿が急増しました。

攻撃コード公開で“ツール化”したサプライチェーン攻撃

Shai‑Huludは以前から、npmやPyPIなどのオープンソースエコシステムを標的とした攻撃で使用されていました。

状況が大きく変わったのは 2026年5月。このワームのソースコードと実行方法を説明したドキュメントがGitHub上に公開されたと報告されました。

セキュリティ研究者によれば、この公開は実質的に サプライチェーン攻撃の設計図（blueprint） を配布したのと同じ意味を持ちます。

これにより攻撃のハードルは大きく下がりました。以前なら

マルウェアを自作する
既存攻撃を解析して再現する

必要がありましたが、公開後は既存フレームワークを そのまま再利用してターゲットを変えるだけ で攻撃が可能になりました。

BreachForumsの“賞金付きコンテスト”が攻撃を加速

さらに事態を悪化させたのが、ハッカーフォーラム BreachForums で発表されたコンテストです。

TeamPCPとフォーラム運営は、Shai‑Huludを使って最も大きなパッケージ侵害を行った参加者に 約1,000ドル（Monero） を支払うと告知しました。

Studio Global AI

Search, cite, and publish your own answer

Use this topic as a starting point for a fresh source-backed answer, then compare citations before you share it.

Studio Global AIで検索して事実確認

人々も尋ねます