Shai-Hulud: gusano de supply chain compromete 1,300+ paquetes en npm, PyPI y Cargo

Una campana de supply chain denominada Shai-Hulud (variante ChainDrop) comprometio mas de 1,300 versiones de paquetes npm. Tambien afecta PyPI y Crates.io (Rust).

Vectores

• npm: postinstall hook malicioso
• PyPI: ejecucion en import
• Cargo: build.rs malicioso

Variante Tensorlake

Detectada el 8 de octubre, apunta a agentes de IA y roba tokens y variables de entorno de desarrolladores.

Acciones

• Auditar dependencias con npm audit, pip-audit, cargo audit
• Verificar lockfiles
• Revisar scripts postinstall en dependencias recientes
• Monitorear conexiones salientes desde entornos de desarrollo

Fuentes: CSA Singapore · ox.security