El nuevo ataque Shai-Hulud compromete 23 paquetes PyPI para apuntar a desarrolladores de MCP

Una nueva ola de la campaña de compromiso de la cadena de suministro Shai-Hulud ha añadido 23 nuevas versiones maliciosas de paquetes en PyPI a una operación que ya era alarmante y que anteriormente había comprometido 37 paquetes. La campaña, identificada por el equipo de investigación de amenazas de Socket y rastreada bajo los grupos Mini Shai-Hulud, Miasma y Hades, abarca actualmente un total de 471 artefactos en npm y PyPI, incluyendo 411 artefactos npm distribuidos en 106 paquetes y 60 artefactos PyPI distribuidos en 37 paquetes.

Tres mecanismos de distribución en evolución

Lo que hace que esta ola sea particularmente peligrosa es la rapidez con la que los actores de amenazas están evolucionando sus métodos de distribución. La campaña opera actualmente a través de al menos tres variantes distintas de entrega en PyPI. La primera utiliza el patrón startup hook .pth, donde una rueda (wheel) maliciosa incluye un archivo *-setup.pth junto con _index.js. Aunque el código fuente de Python parece legítimo, la extensión ejecuta _index.js en el momento en que Python carga el módulo mediante dlopen(), eludiendo por completo los procesos de revisión basados únicamente en el código fuente. Otra variante, denominada langchain-core-mcp loader, utiliza un archivo loader.pth y se distribuye sin incluir _index.js, representando una técnica más reciente dentro de la campaña.

23 paquetes PyPI comprometidos

Los 23 nuevos artefactos pertenecen a tres grupos temáticos diseñados para maximizar la exposición de los desarrolladores. Entre ellos se encuentran paquetes de bioinformática legítimos que fueron troyanizados, como embiggen, ensmallen, gpsea, phenopacket-store-toolkit, ppkt2synergy y pyphetools, utilizados en aprendizaje sobre grafos, análisis de fenotipos de pacientes y flujos de trabajo genómicos. Una vez ejecutada mediante cualquiera de las tres variantes de distribución, la carga maliciosa de la familia Hades recopila agresivamente secretos de estaciones de trabajo de desarrolladores y entornos CI/CD, incluyendo tokens de GitHub, npm, PyPI, RubyGems y JFrog; credenciales de nube de AWS, Azure y GCP; cuentas de servicio de Kubernetes; claves SSH; configuraciones de Docker; historiales de comandos; archivos .env; así como configuraciones de herramientas de desarrollo basadas en IA y credenciales de registros de paquetes.

Indicadores de compromiso (IoC)

Los siguientes 23 artefactos maliciosos recientemente identificados en PyPI deben bloquearse o eliminarse de inmediato: dreamgen 1.8.1, embiggen 0.11.97, ensmallen 0.8.101, gpsea 0.9.14, instructor-mcp 1.15.2 y 1.15.3, langchain-core-mcp 1.4.2 y 1.4.3, mem8 6.0.1, mflux-streamlit 0.0.3 y 0.0.4, openai-mcp 2.41.1 y 2.41.2, orchestr8-platform 3.3.2, phenopacket-store-toolkit 0.1.7, ppkt2synergy 0.1.1, pyphetools 0.9.120, ray-mcp-server 0.2.1, rlask 3.1.7, rsquests 2.34.3, tiktoken-mcp 0.13.1 y 0.13.2 y tlask 3.1.4.

La publicación "El nuevo ataque Shai-Hulud compromete 23 paquetes PyPI dirigidos a desarrolladores MCP" apareció por primera vez en Cyber Security News.

Consultar publicación original ↗