Il worm Shai Hulud 2.0: un’operazione sofisticata oltre gli attacchi supply chain
Il worm Shai Hulud 2.0, rilevato il 24 novembre 2025, ha compromesso quasi 1.200 organizzazioni, incluse grandi banche, enti governativi e aziende tecnologiche Fortune 500. Sebbene i rapporti iniziali lo descrivessero come un semplice attacco alla supply chain di npm che inondava GitHub di repository spam, l’analisi più recente rivela un’operazione significativamente più sofisticata.
I ricercatori hanno osservato che il malware non ha semplicemente creato rumore: ha esfiltrare con successo credenziali e segreti sensibili dalle profondità delle pipeline CI/CD aziendali. L’analisi iniziale si è concentrata sulle migliaia di repository controllati dagli attaccanti generati dal worm. Tuttavia, i ricercatori hanno confermato che questi repository erano meramente il “livello di raccolta” per un furto molto più grande.
Il vero danno: dentro gli ambienti compromessi
Il vero danno si è verificato all’interno degli ambienti vittime, degli endpoint degli sviluppatori, dei server di build cloud e dei runner GitHub self-hosted, dove il malware ha eseguito script payload durante la fase “preinstall” dei pacchetti npm compromessi. Invece di semplicemente raschiare file statici, Shai Hulud 2.0 ha catturato interi ambienti runtime.
L’analisi ha rivelato che gli artefatti generati, come environment.json, contenevano snapshot di memoria con doppia codifica base64. Questi snapshot hanno permesso agli attaccanti di ricostruire lo stato esatto delle macchine compromesse, concedendo loro accesso a segreti in memoria che non sono mai apparsi nei repository di codice.
Scala e portata della compromissione
La scala della compromissione è strabiliante. I ricercatori hanno identificato 1.195 organizzazioni distinte analizzando domini email, hostname interni e identificatori di tenant trovati nei dati esfiltrare. Le aziende tecnologiche e SaaS hanno subito il maggiore impatto dall’attacco, rappresentando oltre la metà delle vittime identificate.
| Settore industriale | Numero di organizzazioni compromesse |
|---|---|
| Tecnologia / SaaS | 647 |
| Servizi finanziari e banche | 53 |
| Sanità | 38 |
| Assicurazioni | 26 |
| Media | 21 |
| Telecomunicazioni | 20 |
| Logistica | 15 |
Casi specifici di violazione critica
Due esempi specifici evidenziano la gravità della violazione. Il primo ha coinvolto una delle più grandi aziende di semiconduttori del mondo, dove un runner GitHub Actions self-hosted è stato compromesso. Lo snapshot di memoria decodificato ha esposto token di accesso personale GitHub attivi e hostname interni, provando che gli attaccanti avevano punti di ingresso validi nell’infrastruttura interna dell’azienda.
La seconda vittima era un fornitore di custodia di asset digitali di Tier-1. In questo caso, il malware ha colpito una pipeline GitLab CI. I dati esfiltrare includevano chiavi segrete AWS attive, token di produzione blockchain e chiavi API Slack. In modo critico, le scansioni condotte il 27 novembre, tre giorni dopo la divulgazione iniziale, hanno rivelato che alcune di queste credenziali di alto valore, incluse le chiavi dell’account del servizio Google Cloud, erano ancora valide e non erano state revocate.
Implicazioni e raccomandazioni per la sicurezza
I repository GitHub associati a Shai Hulud 2.0 vengono rimossi, ma le credenziali rubate rimangono nelle mani degli attaccanti. La campagna dimostra che qualsiasi ambiente in cui viene eseguito il codice, sia un laptop locale che un runner CI basato su cloud, è un potenziale bersaglio per il raschiamento di memoria.
Con segreti validi in circolazione giorni dopo l’attacco, le organizzazioni sono istantaneamente incoraggiate a ruotare tutte le identità non umane e a trattare i loro ambienti runtime come completamente compromessi. La minaccia rappresentata da Shai Hulud 2.0 sottolinea l’importanza critica di implementare strategie di sicurezza robuste per le pipeline di sviluppo e di monitorare continuamente gli ambienti CI/CD per attività sospette.
