Shai-Hulud: Những điều cần biết về phần mềm độc hại đang lây lan qua các đường ống phần mềm

📄Toàn văn bài viết· Được trích xuất tự động bởi trafilaturaGemini 翻譯5906 từ

Tóm tắt - Phần mềm độc hại Shai-Hulud đã được liên kết với khoảng 300 mục gói trên npm và PyPI. - OpenAI, Microsoft và Mistral AI đã tiết lộ các sự cố gần đây liên quan đến Shai-Hulud. - Phần mềm độc hại này đã lạm dụng GitHub Actions và các quy trình xuất bản phần mềm đáng tin cậy. Một chiến dịch phần mềm độc hại được gọi là “Shai-Hulud” đang lan rộng thông qua các đường ống phần mềm mà các nhà phát triển sử dụng để xây dựng và phân phối mã, làm dấy lên những lo ngại mới về việc internet hiện đại ngày nay phụ thuộc nhiều như thế nào vào các hệ thống tự động hoạt động với rất ít sự giám sát trực tiếp của con người. Các nhà nghiên cứu đã liên kết chiến dịch phần mềm độc hại Shai-Hulud với khoảng 320 mục gói trên Node Package Manager (NPM) và PyPI, hai trong số các kho lưu trữ trực tuyến lớn nhất mà các nhà phát triển sử dụng để tải xuống và chia sẻ các gói phần mềm JavaScript và Python. Các gói bị ảnh hưởng chiếm tổng cộng hơn 518 triệu lượt tải xuống mỗi tháng. “Shai-Hulud rất đáng kể vì nó phơi bày một vấn đề mà chúng ta không thể vá hoàn toàn: phần mềm hiện đại được xây dựng bằng cách chạy mã của người khác,” Jeff Williams, CTO của công ty bảo mật Contrast Security có trụ sở tại California, nói với Decrypt. “Các nhà phát triển không chỉ đơn thuần ‘tải xuống’ các thư viện. Họ cài đặt chúng, xây dựng với chúng, kiểm thử với chúng, triển khai với chúng và cuối cùng là thực thi chúng. Và nếu bạn chạy một thư viện độc hại, nó có thể làm gần như bất cứ điều gì bạn có thể làm.” Những tiến bộ trong trí tuệ nhân tạo làm phức tạp thêm mối đe dọa, Williams nói, so sánh Shai-Hulud với việc biến một chiếc máy tính thành một điệp viên hai mang. “Phần đáng sợ là đòn bẩy. Nếu một kẻ tấn công xâm nhập vào một gói không rõ ràng, chúng không chỉ có được gói đó,” Williams nói. “Chúng có một con đường dẫn vào mọi dự án hạ nguồn tin tưởng nó. Sau đó, chúng có thể đánh cắp nhiều token hơn, xuất bản nhiều gói độc hại hơn và lặp lại chu kỳ. Chuỗi cung ứng phần mềm không còn là một chuỗi nữa—nó là một mạng lưới lan truyền,” ông nói thêm. Đầu tháng này, Microsoft Threat Intelligence tiết lộ rằng những kẻ tấn công đã chèn mã độc vào một gói phần mềm Mistral AI được phân phối thông qua PyPI. Microsoft cho biết phần mềm độc hại đã tải xuống một tệp bổ sung được thiết kế để giống với thư viện Transformers được sử dụng rộng rãi của Hugging Face để nó có thể hòa nhập vào các môi trường phát triển học máy. Mistral sau đó cho biết một thiết bị của nhà phát triển bị ảnh hưởng đã liên quan đến sự cố, nhưng nói thêm rằng họ “không có dấu hiệu nào cho thấy cơ sở hạ tầng của Mistral bị xâm phạm.” Hai ngày sau, OpenAI xác nhận phần mềm độc hại liên quan đến cùng một chiến dịch đã lây nhiễm vào hai thiết bị của nhân viên và cho phép kẻ tấn công truy cập vào một số lượng hạn chế các kho lưu trữ mã nội bộ. Công ty cho biết họ không tìm thấy bằng chứng nào cho thấy dữ liệu khách hàng, hệ thống sản xuất hoặc tài sản trí tuệ bị xâm phạm. Shai-Hulud xuất hiện Được đặt tên theo những con sâu cát khổng lồ trong tác phẩm “Dune” của Frank Herbert, các nhà nghiên cứu đã truy vết các phiên bản trước đó của phần mềm độc hại này từ tháng 9 năm 2025 và những tội phạm mạng được gọi là TeamPCP. Tuy nhiên, chiến dịch đã thu hút sự chú ý rộng rãi hơn sau một cuộc tấn công lớn vào ngày 11 tháng 5 nhắm vào TanStack, một khung JavaScript mã nguồn mở được sử dụng rộng rãi trong các ứng dụng web và đám mây. Shai-Hulud là một phần của loại hình tấn công chuỗi cung ứng đang gia tăng, trong đó tin tặc xâm nhập vào các công cụ hoặc dịch vụ phần mềm đáng tin cậy mà các công ty khác đã sử dụng. Thay vì nhắm mục tiêu trực tiếp vào nạn nhân, những kẻ tấn công sử dụng các hệ thống đáng tin cậy đó để phát tán mã độc hoặc giành quyền truy cập vào môi trường của nhà phát triển. Các nhà nghiên cứu cho biết các cuộc tấn công làm nhiễm độc bộ nhớ đệm xây dựng dùng chung để các bản phát hành

Trạng thái dữ liệu✓ Đã trích xuất toàn vănĐọc bài gốc (Decrypt)

🔍Sự kiện tương tự trong lịch sử· Đối chiếu từ khóa + tài sản6 tin

2026-05-29

Chuyên gia nói rằng đồng hồ đang điểm cho XRP, đây là những điều cần biết

Độ tương đồng 130%關鍵字 what/know

2026-05-27

5 điều cần biết về Yi He, nữ lãnh đạo tiền mã hóa đầu tiên trong danh sách Most Powerful Women của Fortune

Độ tương đồng 130%關鍵字 about/know

2026-05-25

3 điều cần biết về Kevin Warsh, tân Chủ tịch Fed

Độ tương đồng 130%關鍵字 about/know

2026-05-22