吊销凭证反而触发物理清盘？TanStack窃密蠕虫被开源，内藏不可逆死手开关

据动察 Beating 监测，制造 npm 供应链投毒案的黑客组织 TeamPCP 在 GitHub 上以 MIT 协议开源了涉事蠕虫 Mini Shai-Hulud 的完整源码。安全人员从代码中发现，该恶意软件自带「死手开关」，如果中招的开发者在没有彻底清杀残留文件的情况下，直接吊销被盗的 GitHub 或云服务凭证，恶意程序会立刻把电脑主目录完全清空。 研究人员证实，该蠕虫会在 macOS 或 Linux 后台安装一个守护进程，每分钟检测一次窃取到的凭证是否依然有效。一旦发现凭证被服务器拒绝（意味着受害者已执行凭证轮换），蠕虫会立刻调用系统底层的 shred 命令，把当前用户主目录（Home directory）下的所有可写文件进行不可逆转地粉碎覆盖。 这直接颠覆了常规的安全响应流程：企业遭遇凭据泄露时的第一反应通常是立刻挂失密钥，但这在这场攻击中反而会直接触发本地数据的毁灭。目前该蠕虫已确认感染包含 TanStack、UiPath 和 Mistral AI 在内的 170 多个包库的近 400 个版本。黑客通过名为 PedroTortoriello 的账号公开代码并嘲讽「开源这场杀戮」后，甚至有第三方提交 PR 为其添加 FreeBSD 支持。目前，微软已火速封禁该账号并清除了全部 GitHub 仓库及 Fork 分支，但已泄露的源码仍在其他渠道流传。