El grupo TeamPCP ha publicado el código fuente del gusano Shai-Hulud en GitHub, permitiendo que otros atacantes creen sus propias variantes. Este malware infecta paquetes de npm para robar credenciales de servicios como AWS y Azure, pudiendo borrar entornos locales si falla. Expertos advierten que ya existen imitadores expandiendo el alcance de esta herramienta destructiva.

El conocido grupo de malware TeamPCP parece haber liberado el código fuente de su gusano Shai-Hulud.

La empresa de seguridad Ox detectó el martes un par de repositorios en GitHub, ambos con el siguiente texto:

• Shai-Hulud: Abriendo el código de la carnicería
• ¿Tiene estilo? Sí. ¿Funciona? Que los resultados hablen.
• Cambien las claves y el C2 según sea necesario. Con amor - TeamPCP

Se han revisado los repositorios unas horas antes de publicar esta noticia y, en ese momento, uno enumeraba un solo fork y el otro mencionaba 31. Al momento de escribir esto, esas cifras han crecido a cinco y 39.

Ese crecimiento concuerda con la afirmación de Ox de que “actores de amenazas independientes ya han comenzado a modificarlo y a ampliar su alcance”.

Los analistas de Ox examinaron el código fuente en los repositorios y creen que muestra “los mismos patrones de ataques anteriores de Shai-Hulud que son inmediatamente reconocibles, como se esperaba. Esto incluye la carga de credenciales robadas a un nuevo repositorio de GitHub”.

“TeamPCP ya no solo está propagando malware, sino que está propagando capacidades. Al pasar al código abierto, han entregado a cualquier actor dispuesto las herramientas para construir su propia variante. Los imitadores ya están aquí”, opinó Ox.

TeamPCP también podría estar utilizando diferentes alias para propagar el malware, una teoría que Ox planteó tras detectar a otro usuario de GitHub llamado “agwagwagwa”, del cual dice que ya ha hecho un fork del malware y ha enviado una solicitud de extracción añadiendo soporte para FreeBSD.

“La temática de TeamPCP son los gatos, y la cuenta de GitHub de agwagwagwa tiene un repositorio llamado ‘meow!’ en su interior”, señaló Ox, antes de realizar una breve sesión de preguntas y respuestas: “¿Significa esto que forman parte del grupo? No podemos saberlo con certeza, pero es muy, muy sospechoso”.

El gusano Shai-Hulud ataca paquetes de npm y, si logra infectarlos, busca credenciales de usuarios de AWS, GCP, Azure y GitHub. Si obtiene acceso, crea y publica código envenenado para perpetuarse. Si el malware no logra sus objetivos, a veces intenta borrar el entorno local en un acto de venganza autodestructiva.

Los investigadores encontraron el malware en septiembre de 2025, y una variante más potente apareció en noviembre del mismo año.

Desde entonces, los imitadores han creado malware similar y el original ha causado estragos en todo internet.

Los autores de malware a veces venden sus productos para que otros malhechores puedan adaptarlos a sus propias necesidades. Sin embargo, es inusual que los cibercriminales regalen su trabajo.

TeamPCP eligió la Licencia MIT, que permite prácticamente cualquier reutilización del código.

Al momento de escribir esto, los repositorios de Shai-Hulud han estado en línea durante al menos 12 horas y GitHub de Microsoft parece no haber intervenido. ®

Fuente:
TheRegister