Datadog 静态分析 Shai-Hulud 开源框架源码，还原 TeamPCP 供应链攻击全貌

Datadog Security Labs 对 5 月 12 日短暂出现在 GitHub 上的 Shai-Hulud 攻击框架源码做了静态分析，发现这是一套模块化 TypeScript/Bun 工具包，覆盖凭证窃取、供应链投毒和加密外泄，与 TeamPCP 此前被归因的 22 项 TTP 中 19 项吻合。框架通过 BASH/Python/Node 加载器引导执行，扫描 100 多个敏感文件路径并读取整个 process.env，还通过 /proc/<pid>/mem 读取 GitHub Actions Runner.Worker 内存以绕过密钥掩码。数据经 AES-256-GCM 加密、RSA-4096-OAEP 封装后，优先外泄到 git-tanstack[.]com，失败时改用 GitHub 仓库作加密死信箱，并用签名提交检索备用 C2 域名。