MistEye 通報發現一種名為「Mini Shai-Hulud」的複雜 npm 蠕蟲，並警告其正在影響包括 TanStack 和 UiPath 在內的可信任開發者專案。據稱，該惡意軟體利用遭劫持的 GitHub 憑證發布惡意套件更新，能夠從開發環境中靜默蒐集敏感資訊。

該警告詳述於消息來源引用的一則近期 X 貼文：https://x.com/SlowMist_Team/status/2054100515483746521。開發者被敦促審核其 CI/CD 管線，並強化整體環境的安全控制。

蠕蟲的運作方式

「Mini Shai-Hulud」npm 蠕蟲引發關注，原因在於它瞄準廣泛使用的開發者工具，並在軟體交付工作流程內運作。npm 是 JavaScript 及相關開發的重要套件生態系，因此當遭入侵的套件被納入自動化建置或相依鏈時，其影響可能超出原始維護者帳戶本身。

根據報告，該惡意軟體會植入名為 router_init.js 的隱藏指令碼，該指令碼可在 CI/CD 環境中靜默執行。這種行為使其對依賴自動化建置與部署系統的團隊尤其危險。若攻擊成功，惡意軟體可能暴露 CI/CD secrets、加密貨幣錢包和雲端基礎設施金鑰等敏感資料。報告指出，受影響的開發者應迅速採取行動，以降低潛在外洩風險。

已知情況

MistEye 將「Mini Shai-Hulud」列為 npm 套件的嚴重威脅。據報導，該蠕蟲透過受信任專案傳播，包括 TanStack 和 UiPath，並使用遭入侵的 GitHub 憑證推送惡意套件更新。

報告所描述的主要風險是敏感開發 secrets 遭竊。由於 npm 套件通常會直接整合至應用程式建置系統，惡意更新可能在未被立即偵測的情況下進入下游環境。對於使用 GitHub 和 npm 進行專案管理與軟體交付的開發者和組織，報告強調有必要立即審核 CI/CD 管線。

MistEye 專注於網路安全解決方案與威脅偵測，並聚焦於軟體開發生命週期中的漏洞。其對 npm 套件的監控，使其能夠向開發者提示可能影響廣泛使用的開源與企業開發工具的潛在威脅。

需監控的安全措施

開發者與安全團隊被建議留意開發環境中的未授權活動、檢查套件更新，並檢視可能已暴露的 CI/CD secrets。在涉及開發者憑證遭劫持的事件中，團隊通常會著重於確認套件完整性、輪換已暴露的 secrets、審查近期發布活動，並強化帳戶保護措施，例如在可用情況下啟用多因素驗證。

報告也表示，來自 MistEye 等網路安全公司的進一步通告，可能有助於引導保護專案免受類似威脅的最佳實務。

本文僅供資訊參考，不構成財務建議。