蠕虫病毒Shai-Hulud源码开源24小时：社区贡献FreeBSD适配，GitHub紧急删库

昨天看到一出“现实比剧本更荒诞”的安全圈插曲。主打供应链攻击的 TeamPCP 团队，居然将真实攻击中使用过的蠕虫病毒 Shai-Hulud 源码直接扔到 GitHub 上。安全分析师验证后表示，代码与黑客此前部署的攻击版本一致，只需稍作配置就能投入攻击，是典型的“开箱即用”恶意工具。详细技术分析可参见：https://cybersecurityreach.org/investigations/ifyourevokethis-token-it-will-wipe-the-computer-of-the-owner-shai-hulud-2026

一、供应链攻击蠕虫被直接开源

二、开源后的“神操作”：有人给病毒贡献适配代码

更让人意外的是，代码公开后，有用户主动提交了适配补丁，为这款蠕虫新增了 FreeBSD 系统适配支持。相当于给攻击工具做了兼容性扩展，让它能在更多环境里生效。不少网友调侃：“这波是帮黑客降低攻击门槛”。

三、最新验证：原仓库已被 GitHub 彻底删除

不过事件发酵后，经实际验证发现，TeamPCP 最初发布的 Shai-Hulud-Open-Source 系列原始仓库，已经被 GitHub 安全团队永久删除，无法访问。

参考链接

• [1] https://www.landian.news/archives/112919.html
• [2] https://www.theregister.com/security/2026/05/13/malware-crew-teampcp-open-sources-its-shai-hulud-worm-on-github/5239319
• [3] https://cybersecurityreach.org/investigations/ifyourevokethistokenitwillwipethecomputeroftheowner-shai-hulud-2026