Biến thể Shai-Hulud mở rộng quét tới 469 vị trí lưu trữ thông tin xác thực
"GitGuardian researchers reported that a newer Shai-Hulud infostealer worm variant now scans 469 credential locations across developer environments, CI/CD tooling, cloud configurations, and AI tool settings, up from 189 paths in earlier variants. The change increases the chance of harvesting reusable credentials that can be used to access source code, cloud infrastructure, package registries, and publishing workflows, enabling continued supply-chain compromise; the article recommends reducing long-lived tokens and moving to short-lived, scoped authentication such as OIDC."
Tăng nguy cơ credential theft và supply chain compromise; có thể dẫn tới truy cập trái phép vào mã nguồn, cloud và kênh phát hành.
Có thể ảnh hưởng đến tính toàn vẹn bản phát hành, gây gián đoạn CI/CD và làm tăng chi phí xử lý sự cố, thu hồi credential và kiểm tra lan truyền.
Theo nghiên cứu của GitGuardian, biến thể mới của Shai-Hulud đã mở rộng phạm vi quét lên 469 vị trí chứa thông tin xác thực trong môi trường phát triển, công cụ CI/CD, cấu hình cloud và cả thiết lập của AI tools. Trước đó, các biến thể cũ chỉ kiểm tra 189 đường dẫn. Sự thay đổi này làm tăng khả năng thu thập các credential có thể tái sử dụng để truy cập source code, hạ tầng đám mây, package registries và quy trình phát hành phần mềm.
Mối nguy chính là kẻ tấn công không cần phá vỡ chuỗi tin cậy, mà có thể tận dụng chính các quyền truy cập đang tồn tại để tiếp tục lan rộng trong software supply chain. Các vị trí thường bị bỏ sót gồm .env files, shell history, CLI caches, cấu hình CI/CD và thiết lập trong IDE.
Khuyến nghị kỹ thuật là giảm tối đa long-lived tokens, ưu tiên short-lived, scoped authentication như OpenID Connect (OIDC) cho quy trình phát hành và tự động hóa. Đồng thời, cần rà soát vòng đời của từng secret, xác định quyền hạn thực tế, và ưu tiên xử lý các credential có thể mở rộng sang nhiều hệ thống.