慢雾发布 Shai-Hulud 3.0 NPM 供应链攻击警报

慢雾警告 Shai-Hulud 3.0，这是由 Aikido Security 发现的新型 NPM 供应链蠕虫，针对开发者凭证和云密钥，与此前 Trust Wallet 应用程序接口 (API) 泄露事件存在关联。

76d ago

摘要

慢雾首席安全官 23pds 发布了关于 Shai-Hulud 3.0 的安全警报，这是一种新检测到的 NPM 供应链蠕虫，旨在窃取开发者凭证和云访问密钥。该威胁于 2025 年 12 月 28 日由 Aikido Security 的 Charlie Eriksen 发现，此前发生了疑似与 Trust Wallet 应用程序接口 (API) 密钥泄露相关的 Shai-Hulud 2.0 事件。目前迹象表明可能处于早期阶段或测试阶段活动，凸显了对开发者和云服务的风险。

术语与概念

NPM supply chain attack: 针对节点包管理器（NPM）生态系统中软件包的恶意入侵，可能影响依赖这些软件包的项目。
Cloud keys: 用于访问和管理云计算服务的数字身份验证令牌，通常代表敏感的安全凭证。
Shai-Hulud 3.0: 针对 NPM 包窃取开发者凭证和机密信息的恶意活动的命名版本。