待验证50% 置信事实精确时间

NPM 蠕虫（如 Shai-Hulud）的传播方式是攻陷一个包后窃取其他 NPM 发布令牌，再用令牌发布更多恶意包形成滚雪球式扩散

1

来源数

50%

置信度

长期有效

时效性

2026/9/21

首次发现

来源

Rust也救不了：Cargo供应链攻击深度解析

涉及实体

Shai-Huludconcept NPMproduct

相关事实

待验证Shai-Hulud 攻击的核心特征是蠕虫式扩散：窃取维护者凭证后向其维护的多个包注入恶意代码，并利用窃取的更多凭证横向传播71% 相似待验证Shai-Hulud 是一类自我传播型 npm 攻击的代号，其名称取自《沙丘》系列中的巨型沙虫67% 相似待验证npm、PyPI 等生态都发生过基础包被植入恶意代码或维护者账号被劫持的供应链攻击事件63% 相似待验证莫里斯蠕虫通过横向传播（寻找相连的其他主机并复制自身）和本地弱口令密码破解两种方式扩散59% 相似待验证npm生态中的event-stream恶意包事件展示了依赖链污染的破坏力，攻击者接管小型库向下游项目注入恶意代码55% 相似

引用此条事实

Stable URI

https://kongchang.com/claim/938227

API

curl https://kongchang.com/api/v1/knowledge/claims/938227

MCP

get_claim(id=938227)