La campaña Shai-Hulud 2.0 sigue escalando y ya se perfila como uno de los incidentes de supply chain más agresivos y técnicamente sofisticados del ecosistema npm en 2025. Lo que inició como un conjunto de paquetes troyanizados ahora demuestra capacidades de autopropagación y destrucción de datos, elevando significativamente su nivel de riesgo.
La magnitud actual del incidente:
- +30 paquetes npm comprometidos en fase confirmada
- ~500 usuarios GitHub afectados
- ~25.000 repositorios públicos generados automáticamente.
- +3 plataformas de nube con credenciales objetivo (AWS, GCP, Azure)
- 1 mecanismo de autopropagación tipo gusano activo
- 1 carga destructiva capaz de borrar datos si se interrumpe la infraestructura del atacante
¿Qué está ocurriendo?
La campaña se compone de un malware con capacidad de propagación similar a un gusano, que infecta automáticamente otros paquetes mantenidos por los desarrolladores afectados. Adicionalmente, el malware incluye un mecanismo “dead man’s switch” que amenaza con destruir datos de los usuarios si se interrumpen sus canales de propagación y exfiltración.
Entre los paquetes afectados se encuentran librerías de Zapier, Postman, ENS Domains, PostHog y componentes clave del ecosistema AsyncAPI. Algunos de ellos se encuentran presentes en entre 15% y 27% de los entornos analizados por firmas de seguridad, lo que incrementa exponencialmente la superficie de exposición.
Un malware programado para auto replicarse y destruir
Shai-Hulud aparece como un malware con componentes tipo «worm», diseñado para comprometer repositorios open-source y propagarse a través del ecosistema npm. Su primera aparición en septiembre evidenció su capacidad para tomar control de cuentas de desarrolladores, en especial cuentas de mantenedores en npm, publicar versiones troyanizadas de los paquetes que administraban e infectar a cualquier usuario que descargara esas dependencias modificadas. Esta cadena de compromiso permitía al malware robar credenciales, capturar secretos sensibles y, si encontraba nuevas cuentas con permisos de publicación en npm, reiniciar el ciclo de infección de manera indefinida.
En esta nueva variante, el componente setup_bun.js descarga e instala Bun para ejecutar el payload principal bun_environment.js, dando lugar a un proceso mucho más automatizado y agresivo.
- Roba credenciales de GitHub, npm, AWS, GCP y Azure.
- Exfiltra la información robada hacia repositorios de GitHub controlados por los atacantes.
- Se propaga automáticamente infectando otros paquetes pertenecientes a las víctimas.
- Incluye una carga destructiva que se activa si el malware pierde acceso a su infraestructura.
Si la máquina comprometida contiene tokens válidos de npm, el malware se replica a todos los paquetes a los que la cuenta tenga acceso.
En un giro destructivo no observado en ataques anteriores, si el malware pierde la conexión con GitHub o npm, procede a eliminar por completo el directorio HOME del usuario, generando un impacto destructivo directo sobre entornos de desarrollo y máquinas de CI/CD, además de pérdidas de información.
La combinación de autorreplicación, abuso de credenciales de mantenedores y mecanismos de destrucción convierte a Shai-Hulud 2.0 en una de las amenazas de supply chain más disruptivas del año.
¿Qué debe hacer su organización si fue afectada?
Sustituir versiones comprometidas:
- Reemplazar y reinstalar dependencias npm publicadas entre 21–25 de noviembre 2025.
- Limpiar cachés:
- npm cache clean –force
- m -rf node_modules
- Pinnear dependencias a versiones verificadas o anteriores al 21/11.
Rotar credenciales de forma inmediata
- Tokens npm
- GitHub PATs
- SSH keys
- AWS/GCP/Azure tokens y secretos
- Credenciales CI/CD
- Implementar MFA resistente al phishing para cuentas de desarrolladores.
Auditar entornos GitHub y pipelines
- Workflows no autorizados, especialmente discussion.yaml y formatter_*.yml
- Branches creados automáticamente
- Repositorios con descripciones relacionadas a Shai-Hulud
Endurecer CI/CD y minimizar superficie de ataque
- Deshabilitar o restringir lifecycle scripts (preinstall, postinstall).
- Limitar salida de red desde runners a dominios confiables.
- Usar tokens de automatización de vida corta y bajo scope.
- Instrumentar detección temprana para actividades sospechosas en Actions.
- Reflexión final: el supply chain como vector dominante
Shai-Hulud 2.0 confirma una tendencia que ya no es teórica
La campaña demuestra con claridad que la cadena de suministro de software se ha convertido en un vector preferido, rentable y altamente escalable para actores de amenaza con motivaciones diversas. Su capacidad worm-like, la automatización en la exfiltración de secretos, el abuso de GitHub Actions como mecanismo de persistencia y la explotación directa de cuentas de mantenedores npm sitúan este incidente como un punto de inflexión para el ecosistema open-source. Ya no hablamos de vulnerabilidades aisladas o de paquetes puntuales comprometidos, sino de un modelo de ataque capaz de propagarse autónomamente, multiplicar su impacto en minutos y penetrar entornos de desarrollo, CI/CD y cloud sin interacción humana.
Para organizaciones críticas, empresas, fintechs, retail, salud, gobiernos, la señal es inequívoca: la seguridad del software ya no depende solo del código propio, sino de cada dependencia, cada pipeline, cada token heredado y cada proveedor de la cadena. La confianza implícita en los ecosistemas de desarrollo modernos está siendo activamente explotada.
En este contexto, soluciones como Xygeni proporcionan una capa de defensa valiosa mediante la detección temprana de paquetes maliciosos, la monitorización de integridad en registros públicos y la identificación de modificaciones sospechosas antes de que alcancen pipelines o estaciones de desarrollo. No obstante, campañas tan complejas y dinámicas como Shai-Hulud 2.0 requieren complementar estas capacidades con monitoreo continuo de GitHub, análisis de actividad en CI/CD, correlación multi-cloud y visibilidad activa sobre credenciales y comportamientos anómalos, reforzando así la protección integral del ciclo de vida del software.
En CronUp Ciberseguridad, monitorizamos campañas de supply chain en tiempo real, detectamos movimientos tempranos de adversarios y ayudamos a nuestros clientes a fortalecer su SDLC con inteligencia aplicada y técnicas avanzadas de Threat Hunting. Si tu organización utiliza npm, GitHub o pipelines CI/CD, hoy es el momento ideal para revisar tu superficie de ataque antes de que una campaña como Shai-Hulud impacte tu entorno.
Referencias
SHA1-HULUD Scanner
Wiz
Aikido
DarkReading
GitLab
© 2026 CronUp Ciberseguridad. Todos los derechos reservados. Este contenido está protegido por la Ley Nº 17.336. Se permite su uso informativo citando la fuente y enlazando el artículo original. Su reproducción o uso sin atribución constituye infracción.
