Что произошло в атаке Mini Shai‑Hulud и почему она встревожила весь open‑source‑мир

Атака Mini Shai‑Hulud, обнаруженная в мае 2026 года, стала одной из крупнейших атак на цепочку поставок в экосистеме open‑source. Злоумышленники скомпрометировали популярные пакеты в экосистеме TanStack и распространили вредоносные версии через npm и PyPI.

Во время расследования OpenAI подтвердила, что два устройства сотрудников компании были затронуты, однако компания заявила, что не нашла доказательств доступа к данным пользователей.

Инцидент показал, насколько уязвимыми могут быть современные процессы разработки, особенно автоматизированные пайплайны публикации пакетов.

Что такое Mini Shai‑Hulud

Mini Shai‑Hulud — это самораспространяющийся червь цепочки поставок, который исследователи связывают с группой TeamPCP. Вместо кражи паролей отдельных мейнтейнеров злоумышленники атаковали автоматизированные пайплайны публикации open‑source проектов.

В основной волне атаки 11–12 мая 2026 года им удалось:

• перехватить рабочие процессы публикации GitHub Actions
• использовать скомпрометированные OIDC‑идентификации для генерации токенов публикации
• выпустить вредоносные версии легитимных пакетов напрямую в реестры

Поскольку релизы происходили через официальные пайплайны проекта, пакеты выглядели легитимными и даже имели действительные аттестации происхождения сборки (build provenance). Это затруднило автоматическое обнаружение вредоносного кода.

Компрометация экосистемы TanStack

Одной из главных целей стала экосистема TanStack — популярный набор JavaScript‑библиотек, широко используемых в веб‑разработке.

Всего за несколько минут злоумышленники опубликовали 84 вредоносные версии в 42 пакетах @tanstack/*, используя легитимный релиз‑пайплайн проекта.

После установки таких версий выполнялся вредоносный код, встроенный в lifecycle‑хуки npm.

Позже исследователи безопасности обнаружили, что кампания быстро расширилась:

• затронуто более 170 пакетов в npm и PyPI
• выявлено 403 вредоносных релиза
• пострадали проекты из экосистем UiPath, Mistral AI, OpenSearch и Guardrails AI

Это сделало Mini Shai‑Hulud одной из самых масштабных атак на open‑source‑экосистемы в 2026 году.

Как работало вредоносное ПО

Заражённые пакеты использовали стандартные хуки менеджеров пакетов, например preinstall, чтобы запускать код во время установки.

После запуска вредоносный код пытался извлечь из системы разработчика различные учетные данные. Исследователи обнаружили попытки получить:

• GitHub personal access tokens
• токены публикации npm
• облачные ключи AWS, Azure и GCP
• секреты Kubernetes
• токены HashiCorp Vault
• переменные окружения CI/CD
• SSH‑ключи и конфигурационные файлы разработчиков

Украденные учетные данные могли использоваться для компрометации новых репозиториев и публикации дополнительных заражённых пакетов. Так червь автоматически распространялся через инфраструктуру разработчиков.

Почему пострадали устройства сотрудников OpenAI

В рамках этой кампании вредоносные пакеты TanStack были установлены на двух устройствах сотрудников OpenAI внутри корпоративной среды.

Компания сообщила, что на этих системах происходили:

• несанкционированный доступ
• попытки извлечения учетных данных

При этом расследование показало:

• нет доказательств доступа к пользовательским данным
• была раскрыта только ограниченная часть учетных данных разработчиков

Публичные отчёты не раскрывают точную цепочку заражения или конкретные версии пакетов TanStack, которые привели к компрометации устройств.

Почему OpenAI изменила сертификаты macOS‑приложений

После инцидента OpenAI обновила рекомендации для организаций, которые используют allowlist‑политику для приложений macOS.

Компания подтвердила, что идентификация подписи Apple Developer для приложений macOS была обновлена в рамках реагирования на инцидент.

Что важно для администраторов:

• Apple Developer Team ID остался прежним: 2DC432GLL2
• политики, которые доверяют приложениям по Team ID, могут продолжить работать
• политики, проверяющие отпечатки сертификатов или имя организации, могут потребовать обновления

Организациям рекомендуется убедиться, что их системы доверяют текущей подписи приложений OpenAI, а не старым сертификатам.

Масштаб последствий для npm и PyPI

Инцидент показал новую проблему современной разработки: пайплайны автоматической публикации могут стать точкой атаки.

В отличие от классических атак на цепочку поставок, где злоумышленники крадут учетные данные мейнтейнера, Mini Shai‑Hulud эксплуатировал:

• CI/CD‑автоматизацию
• доверенные механизмы публикации
• модель доверия реестров пакетов

Из‑за этого вредоносные релизы выглядели полностью легитимными и быстро распространялись по экосистемам.

По итогам крупнейшей волны атаки:

• было скомпрометировано более 170 пакетов npm и PyPI
• опубликованы сотни вредоносных версий
• временно затронуты несколько крупных экосистем разработчиков

Что разработчикам и пользователям OpenAI стоит сделать сейчас

Проверить зависимости

Просмотрите сборки и установки зависимостей, выполненные 11–12 мая 2026 года, особенно если вы использовали пакеты TanStack.

Переустановить пакеты

Если в проекте были установлены скомпрометированные версии:

• удалите их
• установите проверенную версию
• пересоберите проект из чистых источников

Сменить учетные данные

Поскольку вредоносный код пытался похищать секреты, стоит сменить:

• GitHub‑токены
• токены публикации npm или PyPI
• облачные ключи
• секреты CI/CD

Проверить GitHub Actions

Стоит провести аудит пайплайнов публикации и убедиться, что конфигурации OIDC trusted publishing ограничены и защищены.

Обновить allowlist для macOS‑приложений OpenAI

Организациям следует убедиться, что политики безопасности macOS доверяют обновлённой подписи приложений OpenAI.

Почему этот инцидент важен

Mini Shai‑Hulud показывает новый тренд в кибератаках: злоумышленники всё чаще атакуют инфраструктуру разработчиков, а не сами продакшн‑системы.

Если компрометировать инструменты и пайплайны, которыми пользуются разработчики, вредоносный код может распространяться через доверенные зависимости.

Инцидент также продемонстрировал тревожный факт: даже пакеты с валидными аттестациями происхождения сборки и легитимной подписью публикации могут быть вредоносными, если скомпрометирован сам процесс сборки.

Для команд, активно использующих open‑source, мониторинг зависимостей, изоляция окружений сборки и быстрая ротация секретов после инцидентов становятся критически важными элементами безопасности.