Aanvallers gebruiken kwaadaardige software, vermomd als legitieme softwarepakketten en ontwikkeltools, om inloggegevens te stelen. Deze malware kan al op de computers van ontwikkelaars en geautomatiseerde bouwsystemen draaien voordat een applicatie wordt gestart, waardoor normale beveiligingsmaatregelen inactief zijn. Het cruciale moment is tijdens de installatie, wanneer pakketbeheerders automatisch scripts kunnen uitvoeren. Zodra aanvallers toegang hebben, kunnen ze cloudopslag binnendringen, infrastructuur inspecteren, gegevens stelen of permanente toegang vestigen. De verspreiding gebeurt via afhankelijke bibliotheken in cloudontwikkelworkflows. Zelfs het annuleren van een installatie nadat een script is gestart, biedt geen garantie tegen blootstelling. De dreiging omvat meerdere campagnes, niet één enkele malwaresoort, waarbij een schijnbaar onschuldige software-update een cloudlek kan veroorzaken.

De campagne genaamd Shai-Hulud verscheen in september 2025 en richtte zich later op additionele programmeer-ecosystemen en beveiligingstools. Shai-Hulud zocht in geïnfecteerde omgevingen naar cloudgegevens en uploadde gestolen informatie naar openbare GitHub-repositories onder de accounts van de slachtoffers. Een variant die in november 2025 opdook, voegde backdoor-functionaliteit en destructief gedrag toe toen het stelen van inloggegevens niet lukte. Tegen mei 2026 gebruikte een variant genaamd Mini Shai-Hulud scripts die werden uitgevoerd voordat de installatie voltooid was. Een golf van aanvallen op 19 mei 2026 compromitteerde 639 pakketversies binnen 323 pakketten. Eerder, tussen 21 en 23 april 2026, troffen gerelateerde aanvallen npm, PyPI en Docker Hub binnen 48 uur. In een andere campagne in mei 2026 stalen veertien pakketten, vermomd als zoekbibliotheken, cloud- en pipelinegeheimen.

Naast deze campagnes verspreidde BufferZoneCorp kwaadaardige Ruby gems en Go-modules die zich voordeden als ontwikkelaarshulpprogramma's. Deze verzamelden geheimen, verzwakten de verificatie van pakketten, onderschepten commando's en voegden soms een backdoor toe voor externe toegang. TeamPCP compromitteerde ook vertrouwde scantools en bibliotheken. Andere campagnes richtten zich op het aanpassen van de bouweromgeving zelf, waarna aanvallers publicatietoken gebruikten om meer pakketten te infecteren.

Ontwikkelmachines bevatten vaak gevoelige informatie zoals cloudtoegangssleutels, repository-tokens, publicatiegegevens en privésleutels. Het stelen van deze geheimen kan systemen blootstellen die verder gaan dan het oorspronkelijke softwareproject, zelfs als de gecompromitteerde applicatie de productie niet bereikt. Dit benadrukt de noodzaak om ontwikkelomgevingen en cloudinfrastructuur te beschouwen als één verbonden aanvalsoppervlak. De impact van gestolen cloudinloggegevens wordt verder geïllustreerd door de cloudinbreuk bij de Europese Commissie.

Het herstel na een dergelijke aanval begint met het verwijderen van het kwaadaardige pakket. Vervolgens wordt aanbevolen om alle inloggegevens te identificeren waartoe de betreffende machine of het bouwsysteem toegang had. Blootgestelde geheimen moeten worden ingetrokken of geroteerd, en de cloudactiviteit gedurende de periode van blootstelling moet worden beoordeeld. Deze controles helpen vast te stellen wat aanvallers daadwerkelijk deden na het verkrijgen van legitieme inloggegevens.

Om installatierisico's te verminderen, moeten teams afhankelijkheden zorgvuldig goedkeuren, versies vastpinnen met lockfiles en controleren of builds de juiste bestanden behouden. Waar workflows dit toelaten, moeten automatische installatiescripts worden uitgeschakeld en alleen goedgekeurde, noodzakelijke scripts worden toegestaan. Bouwtaken mogen alleen de minimale benodigde machtigingen hebben, en het gebruik van kortstondige inloggegevens vermindert de afhankelijkheid van permanente sleutels. Striktere cloudbeleid kan ongeautoriseerde aanmaak door beheerders of uitgeschakelde logging voorkomen. De toegang tot cloud metadata services moet beperkt worden wanneer bouwsystemen deze niet nodig hebben; het gebruik van AWS IMDSv2, federated identities of managed identities wordt geprefereerd, met beperkte machtigingen.

Cloud auditlogboeken moeten beschermd worden tegen wijziging en gemonitord worden op ongebruikelijke activiteit. Onderzoekers moeten onverwachte toegangsveranderingen, nieuw aangemaakte resources en verdacht opslaggebruik onderzoeken. Beveiligingsmaatregelen voor ontwikkelaars en de respons op cloudincidenten moeten het gehele aanvalspad omvatten.