Shai-Hulud
41
26
12.05.2026
22.10.2026
Profil laut MITRE ATT&CK
Shai-Hulud is a supply chain worm, first reported in September 2025, that spreads through code repositories, including GitHub and NPM packages. It exploits CI/CD pipeline dependencies to propagate to victims and poisons the supply chain by publishing malicious packages. Once inside a victim environment, Shai-Hulud steals credentials and access tokens from compromised repository accounts and exfiltrates them to attacker-controlled servers via encoded GitHub Actions workflows.
Vollständiges MITRE-ProfilBeschreibung und Alias-Namen stammen aus MITRE ATT&CK®.
Nennungen im Zeitverlauf
Meldungen je Monat, letzte 12 Monate.
Belegte Beziehungen
Beziehungen, die eine Meldung ausdrücklich aussagt. Ein Sprachmodell hat die Textstelle benannt, der Code hat das Zitat im Quelltext wiedergefunden und darin beide Seiten erkannt. Es ist die Aussage der Quelle, keine Zuschreibung durch SecBoard.
eingesetzt vonTeamPCPin 2 Meldungen
„The compromise was blamed on and claimed by TeamPCP, the threat actor behind multiple open source software (OSS) supply chain attacks involving the Shai-Hulud worm.“
Beobachtete Techniken
ATT&CK-Techniken, die in denselben Meldungen benannt sind — nicht das vollständige MITRE-Repertoire.
MITRE ordnet 28 Techniken zu; 3 davon kommen in unseren Meldungen vor. Markiert: auch laut MITRE bekannt.
T1566 Phishing
Initial Access
T1684 Social Engineering
stealth
T1195 Supply Chain Compromise
Initial Access
T1059 Command and Scripting Interpreter
Execution
T1071 Application Layer Protocol
Command & Control
T1110 Brute Force
Credential Access
T1110.004 Credential Stuffing
Credential Access
T1557 Adversary-in-the-Middle
Credential Access · Collection
T1557.004 Evil Twin
Credential Access · Collection
T1657 Financial Theft
Impact
Aktuelle Indikatoren
Beobachtungen Dritter aus den offenen Feeds ThreatFox und URLhaus (abuse.ch), zugeordnet über den Familiennamen. Das Datum ist die Erstsichtung — Indikatoren veralten schnell.
Schwachstellen im selben Kontext
CVEs, die in denselben Meldungen auftauchen. Ko-Okkurrenz, kein Nachweis einer Ausnutzung.
Gemeinsam genannt
Betroffene Branchen
Meldungen
Machine speed attacks require machine speed detection and response
MITRE ATT&CK v20 expands critical infrastructure threat coverage with new IT and OT attack techniques
GitHub Tightens npm Publishing After Flaw Left 1,500+ Packages Vulnerable to Hijacking
In Other News: AI Used in Korean Bank Breaches, Poem-Guided Botnet, Empire Admin Gets 40 Years
Tensorlake npm Package Compromised to Deliver Shai-Hulud Credential-Stealing Worm
Evolution of Web3 in Cloud Supply Chain Attacks
The Credential Layer Is Expanding Faster Than Security Teams Can See It
⚡ Weekly Recap: Cisco 0-Day, AI Agent RCE, ClickFix Attacks, ClickFix Surge, and Browser Hijacks
Attacker Hijacks AI Coding Assistant Session, Spreads Shai-Hulud Across About 100 Repositories
AI Is Giving Lesser-Resourced Attackers Nation-State-Level Reach, Google Warns
Shai-Hulud's Reach Just Grew to 469 Credential Locations. Here's What That Means
Russia-Aligned UAC-0099 Plants Nuclear Weapon Prompt in Malware to Disrupt AI Analysis
Australia Arrests 2 Alleged TeamPCP Hackers
Two Alleged ‘TeamPCP’ Hackers Arrested in Australia
Connecting the Dots: Securing the Overlooked Corners of the Software Development Lifecycle (SDLC) Supply Chain
Trivy, Not LiteLLM Behind the 2,500 Org Compromise
⚡ Weekly Recap: AI Goes Rogue, Metabase 0-Day, MCP Supply-Chain Attacks, and Router Backdoors
Growing Up The Hard Way
ChainDrop: Inside a Self-Propagating npm Worm
Why metaphor may dictate your security strategy
Token Jacking: Cybercriminals Could Be Stealing Your AI Resources
Open VSX Removes 77 Malicious Evil Twin Extensions Exfiltrating Developer Data
Over 400 NPM Packages Infected in ChainDrop Supply Chain Attack
Massive ChainDrop npm supply-chain attack infects hundreds of packages
Keyv-Linked npm Worm Poisons Hundreds of Packages, Plants Claude Code and VS Code Hooks
GitHub, PyPI add time-absed defenses against supply chain attacks
A Record-Breaking Patch Tuesday for June 2026
Over 100 NPM, PyPI Packages Hit in New Shai-Hulud Supply Chain Attacks
New Shai-Hulud attack trojanizes 19 science-focused PyPI packages
'Hades' Campaign Against PyPI Puts New Spin on Shai-Hulud
Quellen: The Hacker News (12), SecurityWeek (8), BleepingComputer (7), Unit 42 (4), Dark Reading (4), KrebsOnSecurity (2), Industrial Cyber (1), Cisco Talos (1)
Alle Angaben auf dieser Seite stammen aus dem Alias-Abgleich der Meldungstexte gegen den MITRE-ATT&CK-Katalog. Beziehungen entstehen rein statistisch: Zwei Einträge gelten als verbunden, wenn sie in derselben Meldung benannt sind. Das ist keine eigenständige Attribution durch SecBoard, und eine Nennung ist kein Nachweis einer Täterschaft. Ausnahme ist der Abschnitt „Belegte Beziehungen“: dort sagt die Meldung die Beziehung ausdrücklich, mit Zitat.