Dentro do ataque ao TanStack no npm e do worm Mini Shai‑Hulud

O desenvolvimento moderno depende fortemente de bibliotecas open source e de pipelines automatizados de CI/CD. Em maio de 2026, atacantes exploraram exatamente essa confiança em uma campanha coordenada de ataque à cadeia de suprimentos conhecida como Mini Shai‑Hulud, que comprometeu mais de 170 pacotes npm e PyPI usados por desenvolvedores no mundo todo.

Entre os projetos afetados estavam ecossistemas populares como TanStack, UiPath, Mistral AI e OpenSearch. O objetivo do malware era roubar credenciais de desenvolvedores e serviços em nuvem. Em vez de invadir contas de mantenedores, os atacantes focaram em um ponto mais estratégico: pipelines automatizados de publicação no GitHub Actions, usados para lançar novas versões dos pacotes.

O comprometimento do TanStack

Um dos casos mais visíveis ocorreu com o TanStack, um conjunto de bibliotecas muito usado no ecossistema JavaScript e React.

Em 11 de maio de 2026, entre 19:20 e 19:26 UTC, invasores conseguiram publicar 84 versões maliciosas em 42 pacotes do namespace @tanstack/* no npm.

Análises de segurança indicaram que esses pacotes foram modificados para incluir malware capaz de roubar credenciais, especialmente de ambientes de integração contínua e máquinas de desenvolvedores.

O impacto potencial era grande porque muitas bibliotecas do TanStack são extremamente populares — algumas chegam a milhões de downloads semanais. Isso significa que versões comprometidas poderiam rapidamente entrar em pipelines de build e ambientes de desenvolvimento.

Posteriormente, pesquisadores perceberam que o caso TanStack era apenas parte de uma operação muito maior. No total, a campanha envolveu:

• 172 pacotes comprometidos
• mais de 400 versões maliciosas publicadas
• ataques simultâneos em npm e PyPI

A maioria dessas publicações aconteceu em uma janela de 48 horas entre 11 e 12 de maio de 2026.

Como o GitHub Actions foi explorado

Em vez de roubar diretamente credenciais de publicação do npm, os atacantes exploraram o processo automatizado que publica os pacotes.

A análise pós‑incidente do TanStack mostrou que o ataque combinou várias fraquezas em workflows do GitHub Actions:

• uso inseguro do padrão de workflow pull_request_target
• cache poisoning entre forks e o repositório principal
• extração de um token OIDC do GitHub Actions diretamente da memória do runner

Encadeando essas técnicas, o código controlado pelos invasores conseguiu executar dentro do pipeline de release e extrair credenciais temporárias usadas para publicar os pacotes. As versões maliciosas foram então publicadas pelo próprio pipeline legítimo do projeto.

Como o lançamento partiu da infraestrutura oficial, os pacotes aparentavam ser autênticos e podiam até possuir assinaturas e metadados de proveniência válidos, o que ajudou a esconder o ataque entre atualizações normais.

Como o worm Mini Shai‑Hulud se propagava

Os pacotes comprometidos incluíam código projetado para agir como um worm de cadeia de suprimentos — ou seja, malware capaz de se espalhar automaticamente.

Quando instalados, eles executavam scripts durante o processo de instalação de dependências ou no momento da execução do código. Em alguns casos, isso ocorria por meio de hooks do ciclo de vida do npm ou código executado durante o import do pacote.

Uma vez ativo, o malware tentava:

• coletar credenciais e segredos
• acessar ambientes CI/CD
• reutilizar tokens roubados para publicar novos pacotes comprometidos

Essa estratégia permitia que o ataque se movesse lateralmente entre máquinas de desenvolvedores, pipelines de build e outros projetos open source.

Como gerenciadores de pacotes frequentemente executam scripts durante a instalação, instalar uma dependência comprometida já podia ativar o malware.

Credenciais e sistemas visados

O foco principal do malware eram credenciais de desenvolvedor e infraestrutura em nuvem, que poderiam abrir portas para novos compromissos.

Relatórios de segurança indicam que o worm procurava dados como:

• credenciais AWS IAM
• GitHub Personal Access Tokens
• tokens de publicação do npm
• tokens do HashiCorp Vault
• credenciais de Kubernetes
• chaves privadas SSH
• arquivos de configuração do Docker e variáveis de ambiente

Pesquisadores observaram que o malware varria diversos diretórios em máquinas de desenvolvedores e runners de CI em busca de segredos armazenados localmente.

Por isso, qualquer ambiente que tenha instalado uma versão comprometida foi considerado potencialmente exposto e exigiu rotação de credenciais.

O que a OpenAI disse sobre dados de usuários

Como algumas bibliotecas afetadas são amplamente utilizadas no ecossistema de desenvolvimento, surgiram dúvidas sobre possíveis impactos indiretos em empresas de tecnologia.

A OpenAI declarou que não encontrou evidências de que dados de usuários tenham sido acessados ou comprometidos em decorrência do incidente envolvendo bibliotecas TanStack.

A declaração buscou responder às especulações de que serviços dependentes dessas bibliotecas poderiam ter exposto informações de clientes.

Por que esse ataque chamou tanta atenção

A campanha Mini Shai‑Hulud destacou mudanças importantes na forma como ataques à cadeia de suprimentos estão sendo conduzidos.

Ataque à automação em vez de contas
Os invasores não precisaram roubar credenciais de mantenedores — bastou sequestrar pipelines automatizados de release.

Pacotes maliciosos assinados
Como foram publicados pelo pipeline legítimo, os pacotes pareciam autênticos e podiam carregar assinaturas válidas.

Impacto em múltiplos ecossistemas
A campanha atingiu simultaneamente npm e PyPI, ampliando o alcance potencial do ataque.

Propagação semelhante a worm
O malware tentava roubar tokens e reutilizá‑los para comprometer automaticamente outros pacotes e projetos.

Esses fatores fizeram do incidente um dos mais relevantes ataques à cadeia de suprimentos open source relatados em 2026.

Lições de segurança para equipes de desenvolvimento

A resposta de mantenedores e pesquisadores reforçou algumas práticas importantes para proteger cadeias de suprimentos de software.

Trate a instalação de dependências como execução de código
Instalar um pacote pode disparar scripts ou executar código imediatamente.

Rotacione credenciais após qualquer exposição potencial
Ambientes que instalaram versões comprometidas devem renovar todos os segredos acessíveis.

Fortaleça pipelines de CI/CD
Revisar configurações do GitHub Actions, reduzir permissões de tokens e evitar padrões inseguros como pull_request_target quando possível.

Audite dependências
Verifique se nenhuma versão comprometida foi instalada durante a janela do incidente em maio de 2026.

Monitore pipelines e builds
Instalações inesperadas de dependências, atividades de rede incomuns ou publicações não autorizadas podem indicar comprometimento.

A lição maior para o ecossistema open source

A cadeia de suprimentos de software moderna depende de automação e reutilização de código. O caso Mini Shai‑Hulud mostrou que esses mesmos mecanismos podem se tornar vetores de propagação extremamente eficientes quando comprometidos.

Ao atingir pipelines de build e infraestrutura de desenvolvedores, atacantes conseguem distribuir malware por canais confiáveis e alcançar milhares de projetos em poucas horas.

Por isso, muitas organizações passaram a tratar pipelines CI/CD, gerenciamento de dependências e ambientes de desenvolvimento como fronteiras críticas de segurança, e não apenas ferramentas de produtividade.