# Detección de Shai-Hulud

He creado un script en Python para la detección en tus repositorios de código.
Además te incluyo el protocolo de respuesta ante una infección confirmada.

## 1. Explicación del Script de Python (shai_hulud_detector.py)

El script está diseñado para realizar una auditoría estática y dinámica en tres niveles sobre cualquier proyecto o repositorio Node.js dentro del directorio de trabajo actual:
Nivel 1: Detección de Droppers Físicos (Análisis Estático)

    ¿Qué busca?: Archivos con nombres clave que utiliza el malware (setup.mjs, math_init.js, Math_Symbol.js).
    ¿Cómo lo hace?: Escanea recursivamente el árbol de archivos. Si encuentra un paquete susceptible en node_modules (como flat-cache o file-entry-cache), comprueba si dentro de su carpeta existen dichos archivos dropper. Si la dependencia está presente pero no contiene los droppers, la marca como LIMPIA [OK].

Nivel 2: Inspección de Configuración (package.json)

    Hooks de ciclo de vida (preinstall): Analiza si el campo "scripts" de algún package.json intenta ejecutar comandos sospechosos (por ejemplo, "preinstall": "node setup.mjs").
    Versiones infectadas conocidas: Contrasta las versiones declaradas e instaladas con la lista negra de publicaciones maliciosas confirmadas (keyv@6.0.0, cacheable@2.5.1, cache-manager@7.2.10, etc.).

Nivel 3: Auditoría del Árbol de Dependencias (Análisis Dinámico)

    Equivalente a npm list: Identifica las raíces de los proyectos Node.js (donde hay un package-lock.json o node_modules) y ejecuta automáticamente una inspección del árbol de dependencias resueltas para las familias de riesgo (keyv, cacheable, flat-cache, file-entry-cache, etc.).
    Esto permite visibilizar la cadena de dependencias transitivas (por ejemplo, ver si llegan a través de eslint).

## 2. Procedimiento de Actuación en Caso de Infección Confirmada

Si el script o tus revisiones confirman la presencia de un dropper o de una versión infectada, se debe asumir que el entorno ha sido comprometido y aplicar inmediatamente el siguiente protocolo:
Paso 1: Aislamiento del Entorno

    Detener procesos activos: Cancela inmediatamente cualquier servidor, pipeline de CI/CD o proceso de construcción (npm run build, npm start) que se esté ejecutando en ese equipo.
    Desconectar de la red: Si es una máquina o servidor en producción, aíslala temporalmente de la red para evitar que la carga útil descargue el entorno Bun o intente exfiltrar credenciales.

Paso 2: Revocación Inmediata de Credenciales (Crítico)

Como el objetivo principal de Shai-Hulud es el robo y reutilización de credenciales:

    Revocar Tokens de NPM: Entra en tu cuenta de npmjs.com y revoca todos los Access Tokens activos inmediatamente.
    Revocar Tokens de GitHub / CI/CD: Revoca cualquier Personal Access Token (PAT), clave SSH o credenciales de integración de CI/CD (GitHub Actions, Gitea, etc.) que estuvieran almacenadas en la máquina infectada (~/.npmrc, ~/.ssh, variables de entorno).

Paso 3: Limpieza y Eliminación

Limpiar la caché global de npm:

npm cache clean --force

Borrar directorios y bloqueos contaminados: Elimina las carpetas node_modules y el archivo package-lock.json del proyecto afectado:

rm -rf node_modules package-lock.json

Paso 4: Reinstalación Segura

    Fijar versiones seguras: Asegúrate en tu package.json de que las dependencias estén apuntando a versiones anteriores estables o a las versiones parcheadas que hayan publicado los mantenedores oficiales.

Desactivar scripts automáticos: Fuerza la instalación sin ejecutar los hooks de ciclo de vida para evitar que cualquier dependencia infectada vuelva a dispararse:

npm install --ignore-scripts

Paso 5: Auditar Publicaciones (Si eres mantenedor)

Si tenías permisos de publicación en algún paquete de npm en esa máquina:

    Revisa tu perfil en el registro de npm para comprobar si el gusano publicó versiones no autorizadas (versiones parche como x.x.+1) a tu nombre el 4 de agosto o en fechas posteriores.
    Despublica (unpublish) o marca como deprecadas (deprecate) de inmediato las versiones maliciosas generadas en tus paquetes.

## Script de Detección

Puedes usar el fichero `shai_hulud_detector.py` se trata de la segunda versión en la que he ampliado la revision del análisis.

Simplemente dale permisos de ejecución:

```
chmod +x shai_hulud_detector.py`
```

Para detectarlo simplemente invocalo desde la ruta en que desees se analicen todos los directorios y subdirectorios:

```
cd ~/mi-repositorio-de-codigo
/ruta-detector/shai_hulud_detector.py
```

Ejemplo de salida:

```
$ shai_hulud_detector.py

...

[+] Ejecutando auditoría del árbol de dependencias en: /home/soloconlinux/repo/drawdb/node_modules/url
--- Árbol de dependencias resuelto ---
url@0.11.1 /home/soloconlinux/repo/drawdb/node_modules/url
└── (empty)
--------------------------------------

[+] Ejecutando auditoría del árbol de dependencias en: /home/soloconlinux/repo/drawdb/node_modules/tailwindcss
--- Árbol de dependencias resuelto ---
tailwindcss@3.3.6 /home/soloconlinux/repo/drawdb/node_modules/tailwindcss
└── (empty)
--------------------------------------

============================================================
[OK] Escaneo finalizado: No se detectaron archivos dropper ni versiones maliciosas.
============================================================

```