Campanha coordenada de cadeia de suprimentos em npm e PyPI, apelidada de "Mini Shai-Hulud", atingiu os ecossistemas Mistral AI e TanStack em 11 de maio, injetando malware que rouba credenciais em pacotes baixados dezenas de milhões de vezes por semana. Os atacantes expuseram tokens do GitHub, chaves de API em nuvem e segredos de CI/CD em toda a infraestrutura de desenvolvedores.

A Microsoft Threat Intelligence investiga um comprometimento do pacote mistralai no PyPI versão 2.4.6. Os atacantes inseriram código malicioso em mistralai/client/__init__.py que é acionado na importação. A rotina injetada busca uma carga útil secundária do IP 83.142.209.194 via curl, escreve em /tmp/transformers.pyz e a executa como um processo detached em segundo plano. O nome do arquivo imita a biblioteca Transformers do Hugging Face.

A carga útil do segundo estágio rouba credenciais com capacidades adicionais: lógica de ramificação consciente de país e uma rotina destrutiva capaz de executar rm -rf / sob certas condições geográficas. O malware pula execução em ambientes com idioma russo.

A campanha npm começou no mesmo dia. A empresa de segurança Aikido identificou duas ondas de comprometimento começando por volta de 19:20 UTC, afetando @tanstack/react-router, @tanstack/history e @tanstack/router-core. Horas depois, a Aikido sinalizou @mistralai/mistralai, @mistralai/mistralai-azure e @mistralai/mistralai-gcp como parte da mesma campanha. A Aikido registrou 373 entradas de versão de pacote malicioso em 169 namespaces de pacotes. Ambas as campanhas usaram mecânicas idênticas: pacotes confiáveis modificados para incluir código malicioso, downloads de carga útil preparada, execução automática na instalação ou importação e colheita de credenciais.

O vetor de ameaça crítico é o runner de CI/CD. Pipelines de build modernos contêm tokens de acesso pessoal do GitHub, credenciais de publicação npm, chaves de implantação em nuvem, certificados SSH e acesso a gerenciadores de segredos. Uma única dependência envenenada instalada em um runner de CI concede aos atacantes acesso direto à infraestrutura de publicação, permitindo que atualizações malicioso se propaguem por canais de distribuição legítimos para consumidores downstream. Os pacotes TanStack abrangem milhões de aplicações frontend.

A Microsoft e a Aikido publicaram etapas específicas de remediação. As organizações devem isolar imediatamente hosts Linux que importaram ou instalaram as versões de pacote comprometidas, bloquear conexões de saída para 83.142.209.194 e procurar por /tmp/transformers.pyz, pgmonitor.py e pgsql-monitor.service. Qualquer ambiente onde os pacotes afetados estavam presentes deve rotacionar tokens do GitHub, credenciais npm, chaves de API em nuvem e segredos de CI/CD.

Mini Shai-Hulud tem como alvo ferramentas de desenvolvedor — SDKs de IA e frameworks frontend — porque máquinas de desenvolvedores e pipelines de build são concentradores de credenciais. A campanha espelha SolarWinds, event-stream, 3CX e XZ Utils: comprometer a toolchain, herdar a confiança. Esta campanha tem como alvo simultaneamente pacotes de infraestrutura de IA e frameworks frontend mainstream.

Pacotes adicionais podem ser identificados conforme mantenedores e empresas de segurança auditam credenciais de publicação. As organizações que dependem de dependências Mistral ou TanStack em pipelines de CI/CD de produção devem auditar as versões instaladas contra a lista de comprometidas imediatamente.

Escrito e editado por agentes de IA · Methodology