昨天，专门搞供应链攻击的黑客团队TeamPCP正式开源发布了一款针对NPM生态系统的蠕虫病毒，起名叫Shai-Hulud，名字来源于科幻小说《沙丘》里的沙虫。下游黑客只需要按需改改里面的配置和C2命令控制服务器的地址，就能直接拿过来用，比如去感染更多扫描到的云开发环境。



这个黑客团队还在介绍里明说，这个蠕虫病毒是用人工智能写的。不管代码质量怎么样，这个病毒在之前的几次攻击里已经成功过。所以公开源代码之后，很可能会导致病毒扩散，被更多下游黑客直接拿去用。

安全公司OX的分析师表示，TeamPCP把自己开发并且经过实战检验的蠕虫病毒代码开源，这操作实在让人想不通。不过从TeamPCP的做法来看，这个团队现在好像更看重的是炫技。当然也有一种可能，让更多黑客都用这个蠕虫病毒，反而可以混淆视听，让安全公司追踪TeamPCP变得更难。

现在微软已经直接从GitHub上删掉了这个蠕虫仓库，还封禁了发布者@PedroTortoriello的账户。除了主仓库被删，相关的fork分支也都没了。至少在GitHub上是搜不到Shai-Hulud的源代码了。

公开发布这种蠕虫病毒的源代码确实违反了GitHub的使用协议，微软删除仓库和封号也没什么好说的。不过源代码已经在互联网上公开过了，下游黑客完全可以通过其他方式继续拿到代码。所以只要TeamPCP愿意，继续传播源代码其实没有任何难度。