Mini Shai-Hulud: O ataque à supply chain do SAP CAP e como Defender for Endpoint e Sentinel fizeram a detecção

TL;DR: Em 29 de abril de 2026, quatro pacotes npm oficiais do ecossistema SAP foram comprometidos em um ataque de supply chain chamado Mini Shai-Hulud. O payload roubava credenciais (GitHub tokens, secrets de cloud, chaves SSH) e criava repositórios públicos no GitHub da vítima para exfiltração. O Microsoft Defender for Endpoint detectou e neutralizou o malware no mesmo dia, enquanto o Sentinel for SAP BTP oferece monitoramento para ambientes SAP. A conclusão principal é que o SAP BTP se tornou um alvo relevante e que apenas patching não basta — é preciso telemetria e correlação entre ambientes SAP e não-SAP.

No dia 29 de abril de 2026, versões maliciosas de múltiplos pacotes npm do ecossistema SAP foram publicadas brevemente, criando uma exposição de supply chain para ambientes de desenvolvimento SAP Cloud Application Programming (CAP) e pipelines de CI/CD.

Naquela janela de tempo, desenvolvedores afetados podem ter executado um payload de roubo de credenciais em uma estação de trabalho ou, em casos de maior impacto, dentro de um pipeline de CI/CD.

Desenvolvedores SAP geralmente não se veem como um alvo interessante para ataques a npm. CAP, BTP, Fiori — isso é território corporativo, não de ladrões de criptomoedas — até que deixa de ser. Acompanhe a análise.

Veja nosso latest click-video para uma experiência ainda mais dinâmica de comprometimentos SAP.

Quais pacotes foram afetados e qual o real alcance do ataque?

Quatro pacotes npm oficiais do ecossistema de desenvolvimento SAP foram publicados em versões maliciosas naquele dia. Pesquisadores de segurança estão chamando a campanha de "Mini Shai-Hulud" — o primo menor da família de worms que vem corroendo registries open-source há meses. Mas o "mini" no nome é generoso, na minha opinião.

Shai-Hulud se infiltrou diretamente na supply chain da SAP, e esse detalhe merece uma pausa... SAP CAP agora é um alvo interessante o suficiente para ter se tornado um alvo.

Quatro pacotes, todos ostentando branding legítimo da SAP, todos silenciosamente trocados por gêmeos malignos:

Copiar@cap-js/sqlite v2.2.2
@cap-js/postgres v2.2.2
@cap-js/db-service v2.10.1 
mbt v1.2.48

Esses pacotes não são dependências periféricas. Os módulos @cap-js/* fazem parte do SAP CAP Model, usado em todo desenvolvimento customizado no SAP BTP, enquanto o mbt é o Cloud MTA Build Tool, frequentemente embutido em workflows de CI/CD que empacotam e fazem deploy de Multi-Target Applications para BTP e ambientes on-premises. Com aproximadamente 930.000 downloads semanais, a exposição combinada criou uma superfície de ataque downstream significativa.

A boa notícia: a SAP detectou o comprometimento rapidamente, removeu as versões maliciosas e publicou substituições limpas. A orientação oficial está na SAP Security Note 3747787 — que contém a lista de indicadores de comprometimento, hashes de arquivos e passos de mitigação.

Chega de teoria e evidências! Agora, MOSTRE-ME a detecção!

Quando o worm se move sob a areia, defesas fracas desaparecem primeiro.

Como a telemetria do Defender for Endpoint detectou o worm?

Veja abaixo um trecho do Microsoft Defender for Endpoint em uma máquina de desenvolvedor comprometida. O worm foi neutralizado imediatamente. Observe o tempo de detecção (no mesmo dia do lançamento):

CopiarWindows Defender AV detected malware
ToString: DefenderDetection: File: /Users/User***/Projects/dara-api-manager-ui/node_modules/mbt/File***.js, Sha256: *** [Trojan:JS/SPchnStlr.BB],

BlockingStatus: Prevented, BlockingStatusPriority: 900 DetectionTime: 2026-04-29 11:52:11Z DetectorName: 

Microsoft.Cyber.ObservationDetectors.DefenderConcreteDetector Observations (2): DefenderObservation
Description: Defender detected and quarantined 'Trojan:JS/SPchnStlr.BB' in file 'File***.js' ThreatCategory = Trojan, ThreatFamily = SPchnStlr,

Como os atacantes operacionalizaram os dados roubados?

O comprometimento permitiu a coleta de GitHub tokens, secrets de AWS/Azure/GCP, credenciais npm, configuração do Kubernetes, chaves SSH, arquivos .npmrc e .git-credentials, e variáveis de ambiente de CI/CD.

Os hackers criaram um repositório público no GitHub da própria vítima, com a descrição “A Mini Shai-Hulud has Appeared“ para exfiltrar os dados roubados. Em poucas horas, mais de mil desses repositórios estavam visíveis na busca pública do GitHub.

 

 

Para visões adicionais sobre o tópico, confira os blogs de nossos parceiros Sentinel for SAP: Onapsis, Pathlock e SecurityBridge.

Como conter e reduzir o impacto de um ataque como o Mini Shai-Hulud?

Se você não teve a mesma sorte do desenvolvedor que usava Defender for Endpoint e VS Code, você precisa de monitoramento ponta a ponta do seu ecossistema SAP e ao redor dele. Uma vez que o worm está solto com tokens de nuvem, ele pode aparecer em lugares inesperados.

O Microsoft Sentinel Solution for SAP cobre seus ativos mais valiosos de ERP, seu ambiente SAP BTP e permite correlação informada com o resto do seu parque de TI. O motor de correlação da Microsoft:

• Garante rastreabilidade
• Disrupção automática de ataques
• Hardening just-in-time de possíveis caminhos de ataque

Desenvolvedores que usam a IDE baseada em nuvem SAP Business Application Studio estão fora do alcance do Defender for Endpoint, mas se beneficiam do monitoramento de ameaças através do Sentinel for SAP BTP, que integra o malware scanner do SAP BTP da mesma forma.

Veja isso em ação neste click-video e na captura de tela abaixo.

 

 

Analistas de SOC obtêm insights acionáveis e orientação personalizada do Security Copilot, uma vez que os sinais do SAP BTP são adicionados ao grafo de incidentes da Microsoft — independentemente de onde a ameaça que envolve a SAP se origina.

Como começar com o Sentinel Solution for SAP?

O rollout do Sentinel for SAP BTP pode acontecer imediatamente. Saiba mais no nosso guia de deployment. Confira a referência de conteúdo de segurança para mais informações sobre detecções prontas para uso.

O Sentinel for SAP, que cobre suas soluções de ERP e muito mais, requer a configuração do SAP Integration Suite como etapa intermediária. Saiba mais no nosso guia de deployment. Confira a referência de conteúdo de segurança para mais informações sobre detecções prontas para uso.

Considerações finais

Este incidente ilustra o quanto a superfície de ataque do SAP BTP se estende hoje e por que apenas aplicar patches é insuficiente quando código malicioso atinge ferramentas de desenvolvimento e infraestrutura de build. A defesa eficaz também requer telemetria, correlação e cobertura de resposta em ambientes SAP e não-SAP.

Vejo vocês por aí!

#Kudos ao Mahesh Mandva e Cameron Gardiner por montarem no shai-hulud comigo.

Sinta-se à vontade para entrar em contato para falar mais sobre SAP Cyber Security.

Abraços, Martin

 

Links Úteis

• SAP Note 3747787 with mitigation guide
• Mini Shai-Hulud: Multi-Ecosystem Developer Supply Chain Attack – Lab Space
• Click-Demo for SAP Cyber Security with Microsoft
• Sentinel for SAP Security Content | Microsoft Learn
• Sentinel for SAP BTP Security Content | Microsoft Learn

---

Artigo originalmente publicado por Martin Pankraz em Azure Updates - Latest from Azure Charts.

Perguntas Frequentes

• Quais pacotes npm foram comprometidos no ataque Mini Shai-Hulud?
  Foram quatro pacotes: @cap-js/sqlite v2.2.2, @cap-js/postgres v2.2.2, @cap-js/db-service v2.10.1 e mbt v1.2.48. Eles são pacotes oficiais do ecossistema SAP CAP e da ferramenta de build Cloud MTA Build Tool (mbt), usados em pipelines de CI/CD.

• O que o malware fazia após infectar um ambiente de desenvolvimento SAP?
  O payload roubava GitHub tokens, secrets de AWS/Azure/GCP, credenciais npm, arquivos de configuração do Kubernetes, chaves SSH, arquivos .npmrc e .git-credentials, além de variáveis de ambiente de CI/CD. Os atacantes então criavam um repositório público no GitHub da própria vítima para exfiltrar os dados.

• Como o Microsoft Defender for Endpoint detectou o Mini Shai-Hulud?
  O Defender for Endpoint identificou o malware Trojan:JS/SPchnStlr.BB em um arquivo JavaScript dentro da pasta node_modules. A detecção ocorreu no mesmo dia da publicação dos pacotes maliciosos (29 de abril de 2026), e a execução foi bloqueada e o arquivo colocado em quarentena automaticamente.

• O que fazer se minha empresa usa SAP BTP e não tinha o Defender for Endpoint no momento do ataque?
  A recomendação é implementar monitoramento de ponta a ponta com o Microsoft Sentinel Solution for SAP, que cobre tanto o ERP tradicional quanto o SAP BTP. O Sentinel faz correlação com o restante do ambiente de TI, permite disrupção automática de ataques e hardening just-in-time de caminhos de ataque.

• O SAP Business Application Studio (BAS) também está protegido contra esse tipo de ataque?
  Sim. Embora o Defender for Endpoint não atue diretamente no BAS por ser uma IDE baseada em nuvem, o Sentinel for SAP BTP integra o malware scanner do SAP BTP para oferecer monitoramento de ameaças, garantindo cobertura mesmo em ambientes de desenvolvimento cloud.