Mini Shai-Huludがnpmの800超パッケージを汚染 — 収集先は189か所から469か所へ拡大、AIエージェントの設定も標的

シークレット管理を手がけるGitGuardianは2026年8月7日、npmエコシステムを狙うインフォスティーラー型ワーム「Mini Shai-Hulud」の新たな波を報告した。今回の波は人気パッケージ「keyv」の汚染を起点に800超のパッケージへ連鎖的に波及し、開発端末から窃取する認証情報の収集先が従来の189か所から469か所へ拡大した。標的にはAIエージェントの設定ファイルや暗号資産ウォレットも含まれる。

keyv汚染を起点に800超のパッケージへ波及

GitGuardianによると、今回の攻撃は2026年8月4日午前9時35分（UTC）にnpmパッケージ「[email protected]」の感染から始まった。汚染は依存関係を通じてエコシステム全体へ急速に広がり、数千のバージョンにわたる800超のパッケージに影響した。GitGuardianは、影響を受けたパッケージとして「@cacheable/memory」「ecto」「cacheable-request」「flat-cache」などを挙げている。著名企業のnpm名前空間にも感染が及んだ。企業名としてOneReach、Ornikar、Qlik、Picsartが挙げられている。最後に確認された悪性パッケージの公開は8月5日午前0時27分（UTC）だった。

感染の仕組みは過去の波と共通している。npmのpreinstallスクリプト（npmバージョン12以降は既定で無効化されている仕組み）を悪用し、Bun実行環境をダウンロードして、難読化されたJavaScriptの第2段階ファイル「Math_Symbol.js」を読み込ませる。GitGuardianが難読化を解いて分析した結果、このマルウェアはMini Shai-Huludファミリーに属することが判明した。同ファミリーのソースコードは2026年5月に「Team PCP」と名乗る攻撃者が公開している。

収集先は189か所から469か所へ — Linuxは89か所から290か所に

今回の最大の変化は、収集範囲の拡大である。Mini Shai-Huludはファイルシステム、ローカル実行環境、CI/CDランナー環境、AWS、Kubernetes、Vaultといった個別の収集機構（プロバイダー）で認証情報を集める。収集機構自体は変わっていないが、各機構が触れる範囲が広がった。

最も顕著なのはファイルシステム経由の収集だ。オープンソース版はLinux・Windows・macOSの189か所の固定パスから収集していたが、新版は469か所に増えた。内訳はLinuxが89か所から290か所へ、Windowsが12か所から50か所へ、macOSが88か所から129か所へ増加した。WindowsとmacOSの追加分はLinux版への追随が中心だが、Linux版の変化は質的に大きい。従来は現在のユーザーのホームディレクトリ配下だけが対象だったが、新版は管理者を含むシステム上の全ユーザーのファイルを列挙する。高い権限で実行された場合の被害が従来より深刻になるとGitGuardianは指摘している。

新たに狙われたのは、開発者のマシンに典型的に存在するソフトウェアの設定ファイルである。AIエージェント（Cursor、OpenClaw、OpenAI Codex、OpenCode、Gemini、Hermes）、CI/CD（ArgoCD、Jenkins、CircleCI）、クラウド（Hetzner、Alibaba Cloud、Tencent Cloud）、暗号資産（Foundry、Brownie、Solana、Electrum）が対象に加わった。

Ethereum経由のC2取得と設定ファイル汚染による永続化

新版には2つの注目すべき新手口がある。1つ目は、C2サーバーのアドレスをEthereumブロックチェーンから取得する仕組みだ。この手法自体は2026年3月にGlassWormが使っていたものだが、Mini Shai-Huludファミリーでは初めて確認された。

2つ目は、ClaudeとVS Codeの設定ファイル汚染による永続化である。盗んだ認証情報はGitHubへ持ち出され、過去に侵害された鍵も悪用される。GitGuardianは、パッケージ公開用の認証情報に特に注意を促している。公開用トークンは、開発者が信頼して取り込む正規パッケージの配布経路を握る権限であり、窃取がそのまま攻撃の拡散につながるためだ。

GitGuardianの指摘 — 防御の起点は資格情報の所在把握

GitGuardianは、攻撃者が信頼関係の突破をやめ、信頼関係を成立させている認証情報そのものの収集へ軸足を移していると分析している。防御側への提言として、同社は「自分の資格情報がどこに存在するかを攻撃者より先に把握すること」を挙げている。検出だけでなく、各認証情報が有効か、どの権限を持つか、どこに到達するかを把握し、不要なものを削除すること、インフォスティーラー被害を受けた際は影響する認証情報を速やかに無効化（revoke）することが重要だとGitGuardianは述べている。

日本の開発組織にとっても無関係ではない。npmへの依存は一般的であり、CI/CDランナーや開発端末に長期有効なトークンを置く運用は広く見られる。利用中のパッケージに汚染がないかの確認とあわせ、公開用トークンの棚卸しと開発端末上の認証情報の所在確認が、今回の報告が示す実務上の要点である。