TanStack供应链攻击自动化投毒样本 Js 3X #Shai-Hulud

wwwab

https://mp.weixin.qq.com/s/7Dxzuxm5lQeWphzriZwOhg
https://socket.dev/blog/tanstack-npm-packages-compromised-mini-shai-hulud-supply-chain-attack
https://www.stepsecurity.io/blog/mini-shai-hulud-is-back-a-self-spreading-supply-chain-attack-hits-the-npm-ecosystem
https://tanstack.com/blog/npm-supply-chain-compromise-postmortem

样本找了我好久，那群安全研究员都不上传VirusTotal的，我找到之后还是VirusTotal首次上传：

啊松

卡巴扫描miss，双击报错

fdsax

bd扫描miss，双击报错

DisaPDB

缺失TanStack环境。

wwwab

DisaPDB 发表于 2026-5-12 18:25
缺失TanStack环境。

1. 有个node.js和bun环境就能跑：

没错，直接安装，然后bun run router_init.js


2. 因为测试机器上没什么给他偷的，有个GitHub CLI才能看到更明显的Stealer行为：


不需要别的，node.js bun 开发环境就能直接跑。

kaba666

卡巴UDS杀了两个，还个运行后没见严重反应

心醉咖啡

360扫描miss

吃瓜群众第123位

趋势科技云端版 miss all

莒县小哥

huhansan001

eset剩下一个opensearch_init.js