NewsAgency

Shai-Hulud Worm Compromises keyv and Hundreds of npm Packages

Properties1
tagsnpm, shai-hulud, supply-chain, keyv, malware, bun, provenance

7 dakika okuma süresi

Summary

On August 4, 2026, attackers compromised the GitHub account of the keyv maintainer and published malicious npm releases with valid GitHub Actions provenance. A Shai-Hulud-style worm uses a preinstall hook (setup.mjs) to download Bun and run an obfuscated credential stealer (Math_Symbol.js), then propagates by republishing packages with stolen npm tokens. Initial wave hit keyv/cacheable/flat-cache/file-entry-cache and related packages; by afternoon Aikido reported 434+ packages / 1,381 versions and 2B+ monthly installs combined, with spread into Deliveroo, Picsart, Qlik and others. Secrets targeted include npm/GitHub/AWS/K8s/Vault/Stripe/Slack and broad filesystem scans.

Source Analysis

Primary Aikido incident report corroborated by Wiz, Socket, Snyk, and DevOps.com. Multi-vendor consensus on attack chain (GitHub maintainer compromise → provenance-backed malicious npm publish → Bun preinstall worm). Package counts diverge by snapshot time (434 → 868 → 1,280+) — treat as evolving IOCs, not a single fixed total. Avoid publishing exploit payloads; remediation guidance is solid across sources.

Research Notes

Additional sources

Key facts verified

  • Maintainer GitHub compromise (jaredwray) → malicious publish with valid GitHub Actions provenance: confirmed (Aikido, Snyk, Wiz, Socket)
  • Payload pattern preinstall/setup.mjs → Bun → Math_Symbol.js credential stealer: confirmed multi-vendor
  • Combined 2B+ monthly installs claim: corroborated across Aikido/DevOps.com (aggregate estimate)
  • Downstream orgs (Deliveroo, Picsart, Qlik, ServiceTitan, OneReach): named in industry reporting

Evolving / unverified

Warning

Package totals are still climbing same-day: Aikido 434 (13:37 CEST) → 868 → 1,280+ (DevOps.com). Do not hard-code a single number without timestamped attribution. Snyk’s early “11 releases” scoped to jaredwray maintainer packages — not contradictory to worm totals.

Broader context

Continuation of 2026 npm-supply-chain-2026 / shai-hulud-worm epidemic after miasma-worm. Proves trusted-provenance ≠ safe package. npm v12 install-script defaults remain structural fix; runtime AppSec interest (runtime-exploit-blocking) rising in parallel.

shai-hulud-worm, keyv, trusted-provenance, miasma-worm, supply-chain-attacks, supply-chain-security, npm, bun, aikido-security, wiz, github, npm-supply-chain-2026

Draft Article

npm’de Shai-Hulud dalgası: keyv ve yüzlerce paket provenance ile ele geçirildi

4 Ağustos 2026’da saldırganlar, keyv maintainer’ının GitHub hesabını ele geçirerek geçerli GitHub Actions provenance ile zararlı npm sürümleri yayımladı. Shai-Hulud tarzı bir solucan, preinstall kancası (setup.mjs) ile Bun indirip kimlik bilgisi çalan obfuscated bir yük çalıştırıyor; ardından çalınan npm token’larıyla yeni paketler yayımlayarak yayılıyor. Geliştirici ekipler için acil adımlar: lockfile denetimi ve credential rotation.

Ana Gelişme

Aikido Security’nin olay raporuna göre saldırı zinciri maintainer GitHub hesabından (jaredwray) başlıyor. Zararlı sürümler geçerli provenance taşıdığı için “imzalı = güvenli” varsayımını kırıyor. İlk dalga keyv, cacheable, flat-cache, file-entry-cache ve ilişkili paketleri vurdu; sektör raporlarında Deliveroo, Picsart, Qlik gibi kuruluşların paket ağaçlarına yayılım da anılıyor.

Yük deseni çoklu vendor teyidiyle tutarlı: preinstall / setup.mjs → Bun → Math_Symbol.js credential stealer. Hedeflenen sırlar arasında npm, GitHub, AWS, Kubernetes, Vault, Stripe ve Slack token’ları ile geniş dosya sistemi taraması yer alıyor. Wiz, olayı Mini Shai-Hulud soyundan bir türev olarak tanımlıyor; IOC örnekleri arasında Bun/1.3.13 ve npm-cache[.]com bulunuyor. Socket yayılımı çalınan npm token’ları ve OIDC trusted publishing üzerinden anlatıyor. Snyk erken tarball analizinde jaredwray maintainer paketlerinde 11 zararlı sürüm ve [email protected] ile byte-identical payload’lar bildirdi — bu erken kapsam, solucanın toplam paket sayısını çürütmez.

Warning

Etkilenen paket sayıları aynı gün içinde yükselmeye devam ediyor. Aikido 13:37 CEST civarında 434+ paket / 1.381 sürüm; ilerleyen saatlerde 868; DevOps.com raporunda ise 1.280+ paket ve birkaç dakikada 50–100 yeni paket eklenmesi aktarılıyor. Tek bir “güncel toplam” sabitlenmemeli — zaman damgalı kaynakla okunmalı. Birleşik aylık indirme tahmini (2B+) Aikido/DevOps.com’da aggregate tahmin olarak geçiyor.

Neden Önemli?

Türkçe konuşan geliştirici ve DevOps ekipleri için bu olay doğrudan actionable: package-lock.json / pnpm-lock.yaml / yarn.lock içinde etkilenen aileleri aramak, CI ve geliştirici makinelerinde npm/GitHub/cloud token’larını rotate etmek, install script hijyenini sıkılaştırmak. trusted-provenance’ın “güvenli paket” demek olmadığını gösteren somut bir vaka.

Aynı günkü AppSec finansman haberlerinden (Oligo vb.) ayrı tutulmalı; burada konu aktif supply-chain solucanı. Runtime savunma ilgisinin artması bağlamdır, bu turların nedeni değildir.

Teknik Detaylar

Saldırı, klasik “hesap çalındı, sürüm basıldı” modelini provenance ile birleştiriyor. GitHub Actions ile üretilmiş attestation, tüketicide güven sinyali yaratırken maintainer hesabı ele geçirildiğinde aynı sinyal saldırganı güçlendiriyor.

Solucan bileşeni, çalınan publish yetkisiyle otomatik yeniden paket yayımlama döngüsü kuruyor. Bu yüzden IOC listeleri saatlik güncelleniyor; sabit bir “şu N paket” manşeti yanıltıcı olur. Remediation odağında: bilinen IOC’lere göre lockfile taraması, preinstall/setup.mjs anomalileri, Bun’un beklenmedik kurulumu, credential rotation, ve mümkünse install script’leri kısıtlayan politika (npm v12 install-script varsayılanları uzun vadeli yapısal çözüm olarak tartışılıyor).

Bağlam

Olay, 2026 npm-supply-chain-2026 salgınının ve shai-hulud-worm / Miasma hattının devamı. Önceki dalgalarla karıştırılmamalı: bu dalga keyv/cacheable çekirdeği, Bun tabanlı loader ve provenance-backed publish ile ayrışıyor. Supply-chain attack ve supply-chain-security wiki ipliklerine bağlanıyor.

Sonraki Adımlar

Yayımlama anında Aikido, Wiz, Socket ve DevOps.com IOC listelerini yeniden kontrol edin; paket sayılarını zaman damgasıyla aktarın. Ekipler: (1) lockfile’da keyv/cacheable/flat-cache ve güncel IOC listesini tara, (2) npm/GitHub/cloud token’larını rotate et, (3) CI’da install script politikasını gözden geçir, (4) etkilenen ortamlarda secret scan çalıştır. Exploit payload veya silahlandırma adımları paylaşılmamalı.

Kaynaklar

PreScreening Notes

  • Score 9 / priority critical: Active npm supply-chain worm with provenance-backed malicious releases, 434+ packages and multi-billion monthly install exposure — breaking software security news for our core developer audience.
  • Confirmed news (incident report from Aikido), same-day (2026-08-04), domain fit (software/security), credible security vendor source.
  • Not a duplicate of prior npm/Miasma pipeline items (distinct Shai-Hulud/keyv wave).

Evaluation Report

News Value

  • Timeliness: Same-day active incident (2026-08-04); worm still propagating — maximum urgency.
  • Impact: Extremely high — hundreds of packages, multi-billion monthly installs; credential theft across npm/GitHub/cloud/CI.
  • Prominence: Affects core JS ecosystem tooling; named downstream orgs (Deliveroo, Picsart, Qlik).
  • Proximity: Directly actionable for Turkish-speaking developers and DevOps teams using npm.
  • Novelty: Provenance-backed malicious publishes + Bun-based loader + on-chain C2 patterns (per Wiz) make this a distinct Shai-Hulud wave vs. prior npm incidents.

Audience Fit

Primary fit for software developers and security engineers. Actionable: lockfile audit, credential rotation, install hygiene. Strong wiki hooks to supply-chain-attacks / supply-chain-security. Highest priority item in this batch.

Risk & Ethics

Multi-vendor corroboration (Aikido, Wiz, Socket, Snyk) — claims verified. Avoid publishing exploit payloads or step-by-step weaponization; focus on IOCs, impact, and remediation. Package counts may still rise — flag evolving numbers.

Warning

Affected package/version counts are still climbing same-day. Analysis must re-check latest Aikido/Wiz/Socket lists before publication; do not hard-code stale package totals without a timestamped attribution.

Publication Strategy

  • Format: standard (600–800 words) — fast, actionable security brief with clear remediation; deep technical malware teardown can wait for follow-ups.
  • Angle: Turkish developers — “lockfile’ınızı kontrol edin, token’ları rotate edin”; provenance trust illusion; link to prior Miasma/npm lessons without conflating incidents.
  • Related wiki: supply-chain-attacks, supply-chain-security

Suggested Angle

Aktif npm solucanı: keyv/cacheable ailesinden başlayan Shai-Hulud dalgası, geçerli GitHub Actions provenance ile yayınlanan zararlı sürümler ve çalınan npm token’larıyla yayılım. Okuyucuya somut kontrol listesi ver — etkilenen paket aileleri, preinstall/setup.mjs sinyalleri, credential rotation — ve “trusted provenance = güvenli paket” yanılsamasını vurgula. Sayıları zaman damgalı kaynakla ver; exploit detayına girme.

Editorial Notes

  • Approved angle / format: standard (600–800 words). Actionable security brief for Turkish developers — lockfile audit, credential rotation, provenance trust illusion. Do not merge with Oligo raise.
  • CRITICAL — time-stamped package counts: Same-day totals are rising 434 → 868 → 1,280+. At publish time, re-check Aikido/Wiz/Socket/DevOps.com and cite one snapshot with source + timestamp (e.g. “Aikido, 13:37 CEST: 434 packages”). Never hard-code a single fixed total as current.
  • Must include: GitHub maintainer compromise → provenance-backed malicious npm publish; preinstall/setup.mjs → Bun → credential stealer; worm via stolen npm tokens; remediation checklist; link to miasma-worm / npm-supply-chain-2026 without conflating incidents.
  • Must avoid: Exploit payloads, weaponization steps, unverified single package totals.
  • Headline suggestions (TR):
    1. npm’de Shai-Hulud dalgası: keyv ve yüzlerce paket provenance ile ele geçirildi
    2. Aktif npm solucanı: trusted provenance güvenli paket demek değil
    3. keyv/cacheable saldırısı: lockfile ve token rotasyonu acil

Grafik Görünümü