El grupo TeamPCP lanzó la campaña Mini Shai-Hulud, comprometiendo paquetes de npm y PyPI de empresas como TanStack, Mistral AI y UiPath mediante un ataque de cadena de suministro. El malware roba credenciales de la nube, criptomonedas y herramientas de IA, logrando persistencia en VS Code y propagándose automáticamente entre paquetes. El incidente, calificado como crítico (CVE-2026-45321), destaca por evadir detecciones y utilizar flujos de GitHub Actions para distribuir versiones maliciosas validadas.

TeamPCP, el actor de amenazas detrás de la reciente serie de ataques a la cadena de suministro, ha sido vinculado al compromiso de los paquetes npm y PyPI de TanStack, UiPath, Mistral AI, OpenSearch y Guardrails AI como parte de una nueva campaña Mini Shai-Hulud.

Los paquetes npm afectados han sido modificados para incluir un archivo JavaScript ofuscado ("router_init.js") diseñado para perfilar el entorno de ejecución y lanzar un robador de credenciales exhaustivo capaz de atacar proveedores de nube, monederos de criptomonedas, herramientas de IA, aplicaciones de mensajería y sistemas de CI, incluidos Github Actions, Aikido Security, Endor Labs, SafeDep, Socket y StepSecurity, según informaron. Los datos se exfiltran al dominio "filev2.getsession[.]org".

El uso de la infraestructura del Protocolo de Sesión es un intento deliberado de los atacantes para evadir la detección, ya que es poco probable que el dominio sea bloqueado en entornos empresariales, dado que pertenece a un servicio de mensajería descentralizado y centrado en la privacidad. Como opción de respaldo, los datos cifrados se envían a repositorios controlados por el atacante bajo el nombre de autor "claude@users.noreply.github.com" a través de la API GraphQL de GitHub utilizando los tokens de GitHub robados.

El malware también es capaz de establecer ganchos de persistencia en Claude Code y Microsoft Visual Studio Code (VS Code) para sobrevivir a los reinicios y re-ejecutar el robador en cada inicio de los IDE.

Además, instala un servicio gh-token-monitor para supervisar y volver a exfiltrar tokens de GitHub, e inyecta dos flujos de trabajo maliciosos de GitHub Actions para serializar los secretos del repositorio en un objeto JSON y cargar los datos en un servidor externo ("api.masscan[.]cloud").

TanStack ha rastreado desde entonces el compromiso hasta un ataque encadenado de GitHub Actions que involucra el disparador "pull_request_target", el envenenamiento del caché de GitHub Actions y la extracción de memoria en tiempo de ejecución de un token OIDC del proceso ejecutor de GitHub Actions. "No se robaron tokens de npm, y el propio flujo de trabajo de publicación de npm no se vio comprometido", afirmó TanStack.



Específicamente, se evalúa que los atacantes prepararon la carga útil maliciosa en un fork de GitHub, la inyectaron en archivos tarball de npm publicados y luego secuestraron el flujo de trabajo legítimo "TanStack/router" del proyecto para publicar las versiones comprometidas con una procedencia SLSA válida.

Lo que hace destacar a este gusano es su capacidad de propagarse a otros paquetes al localizar un token de publicación de npm con bypass_2fa establecido en true, enumerar cada paquete publicado por el mismo mantenedor y cambiar un token OIDC de GitHub por un token de publicación por paquete para eludir completamente la autenticación tradicional.

El compromiso de la cadena de suministro de TanStack ha sido asignado al identificador CVE CVE-2026-45321. Tiene una puntuación CVSS de 9.6 sobre un máximo de 10.0, lo que indica una gravedad crítica. El incidente ha afectado a 42 paquetes y 84 versiones en todo el ecosistema de TanStack.

"El ataque publicó versiones maliciosas a través de la propia canalización de lanzamiento de GitHub Actions del proyecto utilizando tokens OIDC secuestrados", dijo el investigador de StepSecurity, Ashish Kurmi.

"En una escalada extremadamente rara, los paquetes comprometidos llevan atestaciones de procedencia SLSA Build Level 3 válidas, lo que convierte a este en el primer gusano de npm documentado que produce paquetes maliciosos atestados válidamente. El gusano se ha extendido desde entonces más allá de TanStack a paquetes de UiPath, DraftLab y otros mantenedores".

Además de TanStack, la campaña Mini Shai-Hulud también se ha extendido a varios otros paquetes, incluidos algunos en PyPI -

* guardrails-ai@0.10.1 (PyPI)
* mistralai@2.4.6 (PyPI)
* @opensearch-project/opensearch@3.5.3, 3.6.2, 3.7.0, y 3.8.0
* @squawk/mcp@0.9.5
* @squawk/weather@0.5.10
* @squawk/flightplan@0.5.6
* @tallyui/connector-medusa@1.0.1, 1.0.2, y 1.0.3
* @tallyui/connector-vendure@1.0.1, 1.0.2, y 1.0.3

Microsoft, en su análisis del paquete malicioso mistralai de PyPI, afirmó que está diseñado para descargar un robador de credenciales desde un servidor remoto ("83.142.209[.]194") que incluye una lógica consciente del país para evitar entornos en idioma ruso y una "rama destructiva geovallada que tiene una probabilidad de 1 entre 6 de ejecutar rm -rf / cuando el sistema parece estar en Israel o Irán".

"El compromiso de guardrails-ai@0.10.1 es especialmente notable porque el código malicioso se ejecuta al importar", dijo Socket. "El paquete verifica si son sistemas Linux, descarga un artefacto remoto de Python desde https://git-tanstack.com/transformers.pyz, lo escribe en /tmp/transformers.pyz y lo ejecuta con python3 sin verificación de integridad".

"Esta última actividad muestra que la campaña continúa propagándose tanto en npm como en PyPI, con paquetes afectados que abarcan infraestructura de búsqueda, herramientas de IA, paquetes de desarrolladores relacionados con la aviación, automatización empresarial, herramientas de frontend y ecosistemas adyacentes a CI/CD".

Fuente:
THN