Shai Hulud：深入供应链安全混乱的深渊

摘要

对泄露的 Shai-Hulud npm 供应链蠕虫的静态分析：该恶意包通过 preinstall 钩子触发，窃取本地、CI、云与 Kubernetes 凭据并回传 C2 或借 GitHub 外传，还会用窃得的 npm token 给维护者名下包投毒，甚至内置删除家目录的死人开关。