เจาะลึกการโจมตี Mini Shai‑Hulud ที่แพร่กระจายในระบบแพ็กเกจ npm

บางแพ็กเกจมีการดาวน์โหลดระดับ หลักล้านครั้งต่อสัปดาห์ ทำให้ผลกระทบสามารถลามไปยังโปรเจกต์อื่นจำนวนมากผ่าน dependency chain

มัลแวร์ทำงานตั้งแต่ขั้นตอนติดตั้งแพ็กเกจ

โค้ดอันตรายถูกฝังอยู่ใน JavaScript ที่ถูก obfuscate และถูกตั้งค่าให้ทำงานทันทีระหว่างการติดตั้ง

ผู้โจมตีใช้กลไกของ npm เช่น preinstall hook ซึ่งจะรันสคริปต์อัตโนมัติเมื่อมีการติดตั้ง dependency ดังนั้นเพียงแค่รัน

npm install

นักวิจัยยังพบอีกเทคนิคหนึ่งคือการใช้ optionalDependencies ที่อ้างถึง commit hash บน GitHub วิธีนี้ทำให้ npm สามารถดึงโค้ดจาก repository ที่แชร์ Git history เดียวกันได้ แม้ผู้โจมตีจะไม่มีสิทธิ์เขียนโค้ดใน repository หลักก็ตาม

เป้าหมายหลัก: ขโมย Credential ของนักพัฒนา

หลังจากรันแล้ว มัลแวร์จะสแกนระบบของเหยื่อเพื่อค้นหา ข้อมูลรับรอง (credentials) ที่สามารถใช้โจมตีต่อได้

ข้อมูลที่ถูกค้นหา ได้แก่

• npm publishing tokens
• GitHub personal access tokens
• AWS, Azure และ Google Cloud credentials
• database connection strings
• Slack tokens และ API keys
• SSH keys และ Docker authentication
• Kubernetes และ HashiCorp Vault tokens

นอกจากนี้ยังพยายามดึงข้อมูลจาก password manager บนเครื่อง เช่น 1Password, Bitwarden, pass และ gopass

ข้อมูลที่ขโมยมา จะถูกส่งออกผ่านสองช่องทาง ได้แก่

• การ commit ข้อมูลลงใน Git object ภายใน GitHub repository สาธารณะ
• การส่งข้อมูลผ่าน HTTPS ที่ถูกปลอมให้ดูเหมือน telemetry ปกติ

มัลแวร์ที่พยายามแพร่กระจายตัวเอง

นักวิจัยด้านความปลอดภัยระบุว่า Mini Shai‑Hulud มีลักษณะคล้าย เวิร์ม (worm‑like)

หลังจากขโมย credential ได้ มันจะพยายามใช้ข้อมูลเหล่านั้นเพื่อ:

• เข้าถึงระบบ CI/CD
• ดึง token เพิ่มเติม
• หรือเผยแพร่แพ็กเกจอันตรายเวอร์ชันใหม่

กลยุทธ์นี้ทำให้เครื่องนักพัฒนาหรือ pipeline ที่ถูกเจาะกลายเป็น จุดกระจายการโจมตีซัพพลายเชนรอบใหม่

ระลอกก่อนหน้า: การโจมตีแพ็กเกจ TanStack

ก่อนเหตุการณ์ npm ขนาดใหญ่ในวันที่ 19 พฤษภาคม แคมเปญเดียวกันเคยโจมตี แพ็กเกจใน ecosystem ของ TanStack มาก่อนในช่วงต้นเดือนพฤษภาคม 2026

TanStack เป็นชุดไลบรารี frontend ที่ใช้กันอย่างแพร่หลายในโลก JavaScript เช่น React Query และ React Router

เวอร์ชันที่ถูกแก้ไขได้ฝังมัลแวร์เพื่อขโมย credential จากระบบนักพัฒนาและ CI/CD ทำให้ผู้โจมตีสามารถขยายการโจมตีไปยัง repository และแพ็กเกจอื่นได้

ผลกระทบต่ออุปกรณ์ของพนักงาน OpenAI

OpenAI เปิดเผยในภายหลังว่า อุปกรณ์ของพนักงานสองเครื่องได้รับผลกระทบจาก dependency ที่ติดเชื้อผ่าน TanStack

บริษัทตรวจพบพฤติกรรมที่สอดคล้องกับมัลแวร์ เช่น

• การพยายามเข้าถึง repository ภายใน
• การดึง credential จาก environment ของนักพัฒนา

อย่างไรก็ตาม OpenAI ระบุว่า

• ไม่มีข้อมูลผู้ใช้ถูกเข้าถึง
• ระบบ production ไม่ถูกเจาะ
• ทรัพย์สินทางปัญญาและซอฟต์แวร์ของบริษัทไม่ได้รับผลกระทบ

หลังพบเหตุการณ์ บริษัทได้แยกระบบที่ได้รับผลกระทบ ยกเลิก session ทั้งหมด หมุนเวียน credential และอัปเดต certificate สำหรับการลงนามโค้ดเพื่อความปลอดภัยเพิ่มเติม

ทำไมการโจมตีนี้จึงสำคัญ

Mini Shai‑Hulud แสดงให้เห็นแนวโน้มสำคัญของการโจมตีไซเบอร์ยุคใหม่ นั่นคือ การโจมตีไปที่ระบบนิเวศของนักพัฒนาเอง แทนที่จะโจมตีผู้ใช้ปลายทางโดยตรง

เหตุการณ์นี้น่ากังวลเพราะ:

• ผู้โจมตีใช้บัญชี maintainer ที่เชื่อถือได้
• การเผยแพร่แพ็กเกจอัตโนมัติทำให้มัลแวร์กระจายหลายร้อยเวอร์ชันภายในไม่กี่นาที
• การขโมย credential ทำให้การโจมตีสามารถแพร่กระจายต่อได้

เนื่องจากซอฟต์แวร์สมัยใหม่พึ่งพา dependency จากโอเพนซอร์สจำนวนมาก การถูกเจาะเพียงแพ็กเกจเดียวที่ได้รับความนิยมก็สามารถกระทบ โปรเจกต์ปลายน้ำหลายพันรายการ ได้

เหตุการณ์ Mini Shai‑Hulud จึงกลายเป็นตัวอย่างสำคัญของความท้าทายใหม่ในโลกซอฟต์แวร์: การปกป้องไม่ใช่แค่ตัวแอปพลิเคชัน แต่ต้องปกป้อง ทั้งห่วงโซ่ซัพพลายเชนของเครื่องมือ นักพัฒนา และระบบอัตโนมัติที่ใช้สร้างซอฟต์แวร์