The Pulse
La versione 0.5.144 dell’SDK npm di Tensorlake conteneva il malware Shai-Hulud
Secondo Aikido, l’8 ottobre 2026 è stata pubblicata la versione 0.5.144 del pacchetto npm di Tensorlake contenente una variante del worm Shai-Hulud. Il malware si esegue durante l’installazione, prende di mira i dati riservati degli svilupp
AI.info Team · Scritto con l’IA ·
Qualsiasi sistema o ambiente infettato dal malware deve essere considerato completamente compromesso e la sostituzione di tutti i dati riservati e delle credenziali che conteneva deve avere la massima priorità.
Oliver Smith, Aikido
Una versione malevola del pacchetto npm di Tensorlake ha inserito una variante del worm Shai-Hulud nell’SDK TypeScript, dove poteva essere eseguita non appena gli sviluppatori lo installavano. Aikido ha segnalato la versione compromessa, tensorlake@0.5.144, l’8 ottobre 2026. Un meccanismo attivato durante l’installazione del pacchetto avviava uno script offuscato che cercava credenziali e altri dati riservati, per poi tentare di diffondersi attraverso gli account degli sviluppatori collegati.
Il GitHub Advisory Database indica la versione 0.5.144 come interessata e avverte che un computer su cui è stata installata o eseguita deve essere considerato completamente compromesso. Secondo l’avviso, la sola rimozione del pacchetto potrebbe non eliminare il software malevolo rimasto nel sistema.
Uno script di preinstallazione ha attivato il payload
Secondo Aikido, lo script di preinstallazione del pacchetto eseguiva lib/setup.mjs, che depositava il runtime Bun e lo usava per eseguire un secondo file offuscato, lib/Math_Symbol.js. Poiché l’attivazione avveniva durante l’installazione, il codice malevolo non doveva attendere che un’applicazione chiamasse le funzioni dell’SDK. Il rapporto elenca gli hash SHA-256 di entrambi i file per aiutare i team a verificare sistemi e copie del pacchetto.
Il payload prendeva di mira variabili d’ambiente e file locali associati ad account cloud, servizi CI, SSH, Kubernetes, Vault, strumenti per sviluppatori e portafogli di criptovalute. Aikido ha inoltre rilevato tentativi di raccogliere dati dalle estensioni del browser e di usare uno strumento remoto per i dati del browser alla ricerca di altre credenziali. Il rapporto descrive il malware come una variante di Shai-Hulud che esfiltra dati riservati e tenta di replicarsi lungo le catene di fornitura del software.
L’attività dell’attaccante ha raggiunto il repository GitHub di Tensorlake
Aikido ha ricondotto i file malevoli al repository GitHub di Tensorlake. Secondo Aikido, alcuni commit effettuati sotto l’identità di un manutentore hanno introdotto il malware il 7 ottobre e il repository è rimasto compromesso per circa 20 ore prima che l’attaccante avviasse la pubblicazione su npm. Questa cronologia indica che il repository del codice sorgente del progetto faceva parte dell’incidente, anziché trattarsi di un pacchetto malevolo che si limitava a usare il nome Tensorlake.
Aikido ha segnalato più di 100.000 installazioni complessive del pacchetto npm di Tensorlake. La cifra descrive la diffusione cumulativa segnalata del pacchetto, ma non indica quanti sviluppatori abbiano installato la versione 0.5.144. Aikido ha inoltre dichiarato che Tensorlake distribuisce pacchetti tramite PyPI e Cargo, ma che al momento della pubblicazione non aveva trovato prove del rilascio di versioni compromesse da parte dell’attaccante attraverso questi registri.
L’esposizione va oltre il pacchetto stesso
Per un attaccante, il valore del worm risiede nelle credenziali disponibili su una macchina infetta. Un token npm rubato può esporre i pacchetti che uno sviluppatore è autorizzato a pubblicare; le credenziali GitHub possono consentire l’accesso ai repository; i dati riservati per il cloud e i servizi CI possono dare accesso ai sistemi di distribuzione. Aikido descrive inoltre un meccanismo di salvaguardia distruttivo che può cancellare il contenuto di una macchina infetta se un token GitHub incorporato viene revocato, complicando la consueta risposta di disabilitare immediatamente le credenziali esposte.
L’avviso di GitHub esorta gli utenti interessati a sostituire i dati riservati da un altro computer e a considerare compromesso il sistema, invece di limitarsi a disinstallare il pacchetto. In termini di versione, l’esposizione concreta è circoscritta a tensorlake@0.5.144, ma la sua portata potenziale dipende dalle credenziali e dai sistemi accessibili ovunque quella versione sia stata eseguita.