TeamPCPがShai‑HuludサプライチェーンワームをGitHubで公開

TeamPCPと呼ばれる脅威アクターが、サプライチェーン攻撃で使われたワーム 「Shai‑Hulud」 の完全なソースコードをGitHubで公開した。しかも MITライセンス 付きでの公開だ。これにより、これまで調査対象だった攻撃ツールが、誰でも再利用・改変できる公開ツールへと変わった。

研究者によると、このリポジトリは公開から数時間で数十回フォークされ、攻撃ツールがオープンソースのように広がる様子が確認された。

この出来事の直前、TeamPCPは 2026年5月11日にnpmとPyPIの170以上のパッケージを侵害する大規模サプライチェーン攻撃 を実行していた。影響を受けたエコシステムには TanStack、Mistral AI、UiPath、OpenSearch、Guardrails AI などが含まれる。

公開されたコードは、防御側にとっては貴重な分析材料になる一方、攻撃者にとっては攻撃手法をコピーできる“設計図”でもある。

攻撃キャンペーンから公開ツールへ

Shai‑Huludキャンペーンは、その 速度と拡散力 で注目された。

2026年5月11日、TeamPCPはnpmとPyPIの複数の人気パッケージに悪意あるバージョンを注入し、数時間のうちに多数の感染リリースを公開した。

このマルウェアの特徴は、単なる依存関係汚染ではなく 自己増殖型ワーム である点だ。感染した開発環境やCI/CDパイプラインを利用し、さらに別のパッケージへと広がる仕組みになっている。

その後、TeamPCPは ワームの完全なソースコードを2つのGitHubリポジトリとして公開。MITライセンスのため、誰でもフォークして改変できる状態になった。

MITライセンス公開が持つ意味

攻撃ツールがオープンソースライセンスで公開されるのは珍しく、セキュリティ面では複雑な意味を持つ。

防御側にとっての利点

実際のソースコードが公開されたことで、セキュリティチームは次のような分析が可能になる。

• YARAやSigma、EDRルールなどの精密な検知ロジック作成
• ワームの挙動を再現するエミュレーション
• CI/CD監視システムが攻撃を検出できるかの検証

つまり、現実の攻撃コードを使って防御テストができる。

攻撃側にとっての利点

しかし同時に、MITライセンスは再利用制限がほぼないため、次のようなリスクも生まれる。

• 他のパッケージレジストリへの応用
• 新しい回避技術の追加
• OSや環境への移植

公開後すぐにフォークが増えたことからも、攻撃ツールの拡散速度の速さが示されている。

Shai‑Huludワームの主な機能

公開コードや調査レポートから、このワームが複数の高度な攻撃技術を組み合わせていることが分かっている。

CI/CDからのOIDCトークン窃取

最も重要な機能の一つが、CI/CDパイプラインのOIDCトークンを取得する能力だ。

特に GitHub Actions などの自動リリースワークフローから 実行時トークンを抽出し、正規のパッケージ公開権限を奪う。

従来のような静的APIトークンの窃取ではなく、実行中の認証フローを乗っ取るという点が特徴だ。

正当なビルド証明付きマルウェア

さらに厄介なのは、悪意あるパッケージが

SLSA Build Level 3 のプロベナンス証明付きで公開されていた点だ。

SLSA（Supply‑chain Levels for Software Artifacts）はソフトウェア供給網の安全性を示す仕組みだが、今回の攻撃では 信頼されたビルドパイプライン自体が侵害されたため、証明があっても安全とは限らない状況になった。

開発環境からの資格情報窃取

感染した環境では、ワームが広範な認証情報を収集する。

対象には次のようなものが含まれる。

• AWSなどクラウド認証情報
• SSH秘密鍵
• npm / PyPI公開トークン
• GitHub Personal Access Token
• KubernetesやVaultのシークレット

報告では 100以上の一般的な保存パスをスキャンしていたとされる。

パッケージエコシステム内での自己拡散

盗んだ認証情報や乗っ取ったCI/CDワークフローを使い、ワームは 新しいパッケージへ自動的に感染を拡大できる。

その結果、複数のパッケージエコシステムを横断する連鎖的なサプライチェーン感染が起きた。

破壊的な「デッドマンスイッチ」

一部の分析では、特定条件で作動する 破壊型ワイパー機能（デッドマンスイッチ） の存在も指摘されている。

そのため、感染が疑われる環境は単なるマルウェア削除ではなく 完全侵害として扱うべきとされている。

TeamPCPの過去の攻撃との関係

今回の攻撃は、突然現れたものではない。

Cloud Security Allianceの調査によると、TeamPCPは 2026年4月29〜30日にもnpm・PyPI・Packagistを横断する攻撃 を実行し、約1,800リポジトリに影響を与えていた。

攻撃手法は段階的に進化している。

• 初期攻撃：レジストリトークンの窃取
• 2026年5月攻撃：信頼されたCI/CDパイプラインの乗っ取り
• Shai‑Hulud：ワーム型自己拡散

つまり、攻撃者は サプライチェーン防御の仕組みに適応しながら進化している。

開発者とセキュリティチームへの即時リスク

セキュリティ専門家は、次のように警告している。

2026年5月11日以降に影響パッケージをインストールした環境は、侵害された可能性がある。

理由は、ワームが

• 開発端末
• CI/CDランナー
• クラウド環境

から資格情報を収集し、長期的な侵入経路を残す可能性があるためだ。

さらに今回の事件は、署名やプロベナンス証明だけでは安全性を保証できないことも示した。

推奨される対応

影響の可能性がある組織は、次の対応が推奨されている。

• 2026年5月11日以降に導入したnpm・PyPI依存関係を確認する
• クリーン環境からプロジェクトを再ビルドする
• 開発者・CI/CD・クラウド・レジストリの全資格情報をローテーションする
• GitHub ActionsなどのCIワークフロー変更履歴を監査する
• パッケージ公開権限を最小権限OIDCポリシーに制限する

また、ワームのソースコードが公開されたことで改変版や模倣攻撃が出現する可能性が高まっている。

ソフトウェア供給網攻撃の転換点

Shai‑Hulud事件は、サプライチェーン攻撃の焦点が変わってきていることを示している。

攻撃者はもはや単一の脆弱な依存関係を狙うのではなく、開発ワークフローそのもの（CI/CD・ビルド・公開プロセス）を標的にしている。

そして今回、攻撃に使われたワームのソースコードが公開されたことで、この攻撃モデルは世界中の研究者と攻撃者の両方に研究されることになった。

ソフトウェア供給網を守る競争は、すでに新しい段階に入っている。