Shai-Hulud

Description

Shai-Hulud is a self replicating worm that spreads through package registries and developer toolchains, and the worm plants itself in code repositories and build systems. Its campaigns stole credentials and secrets from developer environments and used them to push infected packages onward, creating a chain of compromise that spread without user interaction. Researchers analyzed one of its major waves, and the family has become a reference point for supply chain worm risks in software ecosystems.

Stats

First seen: September 2025
Last seen: October 2026

Also known as

ShaiHuludShaiWorm

MITRE ATT&CK techniques

33 techniques across 15 tactics.

TA0043 Reconnaissance

T1593Search Open Websites/Domains
- T1593.003Code Repositories

TA0042 Resource Development

T1608Stage Capabilities
- T1608.001Upload Malware

TA0001 Initial Access

T1195Supply Chain Compromise
- T1195.001Compromise Software Dependencies and Development Tools

TA0002 Execution

T1059Command and Scripting Interpreter
- T1059.004Unix Shell
- T1059.001PowerShell
- T1059.007JavaScript
T1677Poisoned Pipeline Execution

TA0003 Persistence

T1098Account Manipulation
T1543Create or Modify System Process
- T1543.002Systemd Service

TA0004 Privilege Escalation

T1546Event Triggered Execution
- T1546.016Installer Packages
T1548Abuse Elevation Control Mechanism
- T1548.003Sudo and Sudo Caching

TA0005 Stealth

T1027Obfuscated Files or Information
T1036Masquerading
- T1036.009Break Process Trees
- T1036.005Match Legitimate Resource Name or Location
T1078Valid Accounts
- T1078.004Cloud Accounts
T1564Hide Artifacts
- T1564.011Ignore Process Interrupts
T1678Delay Execution

TA0006 Credential Access

T1528Steal Application Access Token
T1552Unsecured Credentials
- T1552.001Credentials In Files
- T1552.005Cloud Instance Metadata API
T1555Credentials from Password Stores
- T1555.006Cloud Secrets Management Stores

TA0007 Discovery

T1082System Information Discovery

TA0008 Lateral Movement

T1550Use Alternate Authentication Material
- T1550.001Application Access Token

TA0009 Collection

T1119Automated Collection
T1213Data from Information Repositories
- T1213.003Code Repositories

TA0011 Command and Control

T1071Application Layer Protocol
- T1071.001Web Protocols
T1105Ingress Tool Transfer

TA0010 Exfiltration

T1041Exfiltration Over C2 Channel
T1567Exfiltration Over Web Service
- T1567.001Exfiltration to Code Repository
- T1567.004Exfiltration Over Webhook

TA0040 Impact

T1485Data Destruction

TA0112 Defense Impairment

T1553Subvert Trust Controls
T1685Disable or Modify Tools

Alert name variants

Alert Name	Engine
Archive-GZIP.Worm.ShaiHulud	ATP Sandbox Adv. Heuristics
Archive-TAR.Worm.ShaiHulud	ATP Sandbox Adv. Heuristics
ByteCode-JAVA.Downloader.ShaiHulud	ATP Sandbox Adv. Heuristics
Generic.GYP.ShaiHulud.A.2F5F684B	AV
Generic.GYP.ShaiHulud.A.B2F39846	AV
Generic.JS.ShaiHulud.D.01D106D4	AV
Generic.JS.ShaiHulud.D.0E560126	AV
Generic.JS.ShaiHulud.D.8BBEC53A	AV
Generic.JS.ShaiHulud.D.C1DBFEC1	AV
Generic.JS.ShaiHulud.D.D58325BD	AV
Generic.JS.ShaiHulud.D.F82E0607	AV
Generic.JS.ShaiHulud.D.F9EFC6E7	AV
Generic.JS.ShaiHulud.G.DE8280C6	AV
Generic.JS.ShaiHulud.H.0A6E62D5	AV
Generic.JS.ShaiHulud.H.815F3429	AV
Generic.JS.ShaiHulud.H.8436E98F	AV
Generic.JS.ShaiHulud.H.88517222	AV
Generic.JS.ShaiHulud.H.8B277469	AV
Generic.JS.ShaiHulud.H.8D4A688A	AV
Generic.JS.ShaiHulud.H.A499494B	AV
Generic.JS.ShaiHulud.H.CADAA8DA	AV
Generic.JS.ShaiHulud.H.CDC9C651	AV
Generic.JS.ShaiHulud.H.EBB50448	AV
Generic.JS.ShaiHulud.I.E626FCA8	AV
Generic.ShaiHulud.A.3D6C7B36	AV
Generic.ShaiHulud.A.4B5A3F6D	AV
Generic.ShaiHulud.A.B7C0D61F	AV
Generic.ShaiHulud.A.DA69DF29	AV
Generic.ShaiHulud.A.FC37EAE7	AV
Generic.ShaiHulud.B.012B0E2B	AV
Generic.ShaiHulud.B.89694C73	AV
Generic.ShaiHulud.C.05F30D2A	AV
Generic.ShaiHulud.C.0AF34E72	AV
Generic.ShaiHulud.C.160279B9	AV
Generic.ShaiHulud.C.18582A98	AV
Generic.ShaiHulud.C.1D154973	AV
Generic.ShaiHulud.C.2C7CDA9E	AV
Generic.ShaiHulud.C.2E86493F	AV
Generic.ShaiHulud.C.2E97315E	AV
Generic.ShaiHulud.C.30347958	AV
Generic.ShaiHulud.C.30D3EF86	AV
Generic.ShaiHulud.C.4BBB4005	AV
Generic.ShaiHulud.C.560CF2C8	AV
Generic.ShaiHulud.C.5DBDC0B2	AV
Generic.ShaiHulud.C.601EB88A	AV
Generic.ShaiHulud.C.63C063DC	AV
Generic.ShaiHulud.C.652BC580	AV
Generic.ShaiHulud.C.666F207E	AV
Generic.ShaiHulud.C.698A43E9	AV
Generic.ShaiHulud.C.6AB9A015	AV
Generic.ShaiHulud.C.70B18366	AV
Generic.ShaiHulud.C.78C87C28	AV
Generic.ShaiHulud.C.8A163C4C	AV
Generic.ShaiHulud.C.8CECEEA8	AV
Generic.ShaiHulud.C.93619590	AV
Generic.ShaiHulud.C.A18C8F4F	AV
Generic.ShaiHulud.C.A2369619	AV
Generic.ShaiHulud.C.A95BA2FD	AV
Generic.ShaiHulud.C.B16610CC	AV
Generic.ShaiHulud.C.B27D0914	AV
Generic.ShaiHulud.C.CA4447D9	AV
Generic.ShaiHulud.C.CE0A0DAC	AV
Generic.ShaiHulud.C.CFB0A4B4	AV
Generic.ShaiHulud.C.D58EE493	AV
Generic.ShaiHulud.C.DA0A4DB0	AV
Generic.ShaiHulud.C.DD931807	AV
Generic.ShaiHulud.C.E0B18D47	AV
Generic.ShaiHulud.C.E353D1EE	AV
Generic.ShaiHulud.C.E3B3799B	AV
Generic.ShaiHulud.C.E5F15463	AV
Generic.ShaiHulud.C.E60F6853	AV
Generic.ShaiHulud.C.F9D0BA30	AV
Generic.Trojan.ShaiHulud.J.0C70F350	AV
Generic.Trojan.ShaiHulud.J.0DF6C70B	AV
Generic.Trojan.ShaiHulud.J.0F64E4E8	AV
Generic.Trojan.ShaiHulud.J.112A05CD	AV
Generic.Trojan.ShaiHulud.J.1A145E15	AV
Generic.Trojan.ShaiHulud.J.1D134887	AV
Generic.Trojan.ShaiHulud.J.1E62C42C	AV
Generic.Trojan.ShaiHulud.J.1F8083B3	AV
Generic.Trojan.ShaiHulud.J.219F9300	AV
Generic.Trojan.ShaiHulud.J.21C3B281	AV
Generic.Trojan.ShaiHulud.J.21DD5839	AV
Generic.Trojan.ShaiHulud.J.22217315	AV
Generic.Trojan.ShaiHulud.J.22DDBE5D	AV
Generic.Trojan.ShaiHulud.J.232110FE	AV
Generic.Trojan.ShaiHulud.J.248CDC48	AV
Generic.Trojan.ShaiHulud.J.28CC4A4F	AV
Generic.Trojan.ShaiHulud.J.2A075F59	AV
Generic.Trojan.ShaiHulud.J.2CE38C10	AV
Generic.Trojan.ShaiHulud.J.2D736708	AV
Generic.Trojan.ShaiHulud.J.30B2C8AA	AV
Generic.Trojan.ShaiHulud.J.312B5251	AV
Generic.Trojan.ShaiHulud.J.32B1A51A	AV
Generic.Trojan.ShaiHulud.J.350F9A56	AV
Generic.Trojan.ShaiHulud.J.38B0217B	AV
Generic.Trojan.ShaiHulud.J.396CD4EF	AV
Generic.Trojan.ShaiHulud.J.3A7A5178	AV
Generic.Trojan.ShaiHulud.J.3F408ED3	AV
Generic.Trojan.ShaiHulud.J.3FC986A9	AV
Generic.Trojan.ShaiHulud.J.40B6D171	AV
Generic.Trojan.ShaiHulud.J.410C33B2	AV
Generic.Trojan.ShaiHulud.J.44BCEADA	AV
Generic.Trojan.ShaiHulud.J.44FBA2D9	AV
Generic.Trojan.ShaiHulud.J.486C30CD	AV
Generic.Trojan.ShaiHulud.J.48AFA4C8	AV
Generic.Trojan.ShaiHulud.J.4CBBFCC1	AV
Generic.Trojan.ShaiHulud.J.51CFA59B	AV
Generic.Trojan.ShaiHulud.J.54837770	AV
Generic.Trojan.ShaiHulud.J.570F8AC9	AV
Generic.Trojan.ShaiHulud.J.574D920E	AV
Generic.Trojan.ShaiHulud.J.57BFE8D4	AV
Generic.Trojan.ShaiHulud.J.5AABA385	AV
Generic.Trojan.ShaiHulud.J.5C5CBADD	AV
Generic.Trojan.ShaiHulud.J.5CAA28C9	AV
Generic.Trojan.ShaiHulud.J.5DFA14BE	AV
Generic.Trojan.ShaiHulud.J.5F560470	AV
Generic.Trojan.ShaiHulud.J.6060271E	AV
Generic.Trojan.ShaiHulud.J.6263F46A	AV
Generic.Trojan.ShaiHulud.J.62B4246E	AV
Generic.Trojan.ShaiHulud.J.631DCAEB	AV
Generic.Trojan.ShaiHulud.J.6390560D	AV
Generic.Trojan.ShaiHulud.J.65AC43E0	AV
Generic.Trojan.ShaiHulud.J.67184233	AV
Generic.Trojan.ShaiHulud.J.68BE541B	AV
Generic.Trojan.ShaiHulud.J.6AA28B19	AV
Generic.Trojan.ShaiHulud.J.6AF6BF89	AV
Generic.Trojan.ShaiHulud.J.6E6D70E5	AV
Generic.Trojan.ShaiHulud.J.6E942CEC	AV
Generic.Trojan.ShaiHulud.J.70B11E83	AV
Generic.Trojan.ShaiHulud.J.711423C0	AV
Generic.Trojan.ShaiHulud.J.71AB0139	AV
Generic.Trojan.ShaiHulud.J.71F8E0A8	AV
Generic.Trojan.ShaiHulud.J.73B12342	AV
Generic.Trojan.ShaiHulud.J.74C978C9	AV
Generic.Trojan.ShaiHulud.J.78C5A6EC	AV
Generic.Trojan.ShaiHulud.J.79A65A49	AV
Generic.Trojan.ShaiHulud.J.7AB16C58	AV
Generic.Trojan.ShaiHulud.J.7BC2203C	AV
Generic.Trojan.ShaiHulud.J.851E92F3	AV
Generic.Trojan.ShaiHulud.J.8528565C	AV
Generic.Trojan.ShaiHulud.J.88261586	AV
Generic.Trojan.ShaiHulud.J.886FDFC2	AV
Generic.Trojan.ShaiHulud.J.8A5683A1	AV
Generic.Trojan.ShaiHulud.J.8AC14FE2	AV
Generic.Trojan.ShaiHulud.J.91F40197	AV
Generic.Trojan.ShaiHulud.J.948121BE	AV
Generic.Trojan.ShaiHulud.J.94CC3AB8	AV
Generic.Trojan.ShaiHulud.J.979A1708	AV
Generic.Trojan.ShaiHulud.J.9A982749	AV
Generic.Trojan.ShaiHulud.J.9C3A421D	AV
Generic.Trojan.ShaiHulud.J.9D37C493	AV
Generic.Trojan.ShaiHulud.J.9F21611B	AV
Generic.Trojan.ShaiHulud.J.A22A4DDC	AV
Generic.Trojan.ShaiHulud.J.A5BAAD7F	AV
Generic.Trojan.ShaiHulud.J.A5D7778E	AV
Generic.Trojan.ShaiHulud.J.A6BC8367	AV
Generic.Trojan.ShaiHulud.J.A99E6331	AV
Generic.Trojan.ShaiHulud.J.AFC12F2A	AV
Generic.Trojan.ShaiHulud.J.B236FE55	AV
Generic.Trojan.ShaiHulud.J.B4969878	AV
Generic.Trojan.ShaiHulud.J.B610B0A4	AV
Generic.Trojan.ShaiHulud.J.B8E54A06	AV
Generic.Trojan.ShaiHulud.J.BA736046	AV
Generic.Trojan.ShaiHulud.J.BE0BAF74	AV
Generic.Trojan.ShaiHulud.J.BE3666EC	AV
Generic.Trojan.ShaiHulud.J.C0324C56	AV
Generic.Trojan.ShaiHulud.J.C30C9ABE	AV
Generic.Trojan.ShaiHulud.J.C39ACC77	AV
Generic.Trojan.ShaiHulud.J.C4B9B27E	AV
Generic.Trojan.ShaiHulud.J.C60AE5DE	AV
Generic.Trojan.ShaiHulud.J.C62B5415	AV
Generic.Trojan.ShaiHulud.J.C66EBB4F	AV
Generic.Trojan.ShaiHulud.J.C93C50EA	AV
Generic.Trojan.ShaiHulud.J.D242F3A4	AV
Generic.Trojan.ShaiHulud.J.D36BAC46	AV
Generic.Trojan.ShaiHulud.J.D383F794	AV
Generic.Trojan.ShaiHulud.J.D4FC4DEC	AV
Generic.Trojan.ShaiHulud.J.D5BB7872	AV
Generic.Trojan.ShaiHulud.J.D6C356C6	AV
Generic.Trojan.ShaiHulud.J.D6FAB2AE	AV
Generic.Trojan.ShaiHulud.J.D79A43B1	AV
Generic.Trojan.ShaiHulud.J.DD3BDEAA	AV
Generic.Trojan.ShaiHulud.J.DFF9ED84	AV
Generic.Trojan.ShaiHulud.J.E13AB567	AV
Generic.Trojan.ShaiHulud.J.E4199DBC	AV
Generic.Trojan.ShaiHulud.J.E4B54D5C	AV
Generic.Trojan.ShaiHulud.J.E6811074	AV
Generic.Trojan.ShaiHulud.J.E8A912FC	AV
Generic.Trojan.ShaiHulud.J.E9A1AE28	AV
Generic.Trojan.ShaiHulud.J.EDA29E3E	AV
Generic.Trojan.ShaiHulud.J.F0B08FF3	AV
Generic.Trojan.ShaiHulud.J.F6CBBDF4	AV
Generic.Trojan.ShaiHulud.J.F99607AB	AV
Generic.Trojan.ShaiHulud.J.FA7131DA	AV
Generic.Trojan.ShaiHulud.J.FCEA4764	AV
Generic.Trojan.ShaiHulud.J.FE58BFBC	AV
Generic.Trojan.ShaiHulud.J.FECB2129	AV
GT:JS.ShaiHulud.2.8E845662	AV
Package.Trojan.ShaiWorm	ATP Sandbox Adv. Heuristics
Script-JS.Malware.ShaiHulud	ATP Sandbox Adv. Heuristics
Script-JS.Trojan.ShaiHulud	ATP Sandbox Adv. Heuristics
Script-JS.Trojan.ShaiWorm	ATP Sandbox Adv. Heuristics
Script-JS.Worm.ShaiHulud	ATP Sandbox Adv. Heuristics
Script-PowerShell.Trojan.ShaiHulud	ATP Sandbox Adv. Heuristics
Script-Python.Trojan.ShaiHulud	ATP Sandbox Adv. Heuristics
Text.Worm.ShaiHulud	ATP Sandbox Adv. Heuristics
Worm.ShaiHulud.1	AV
Worm.ShaiHulud.10	AV
Worm.ShaiHulud.11	AV
Worm.ShaiHulud.12	AV
Worm.ShaiHulud.13	AV
Worm.ShaiHulud.14	AV
Worm.ShaiHulud.15	AV
Worm.ShaiHulud.2	AV
Worm.ShaiHulud.20	AV
Worm.ShaiHulud.22	AV
Worm.ShaiHulud.38	AV
Worm.ShaiHulud.4	AV

Related blogs

Blockchain Dead Drop Resolvers Explained

Related families

StrelaStealer Empire QakBot Metamorfo TrickBot