कल, TeamPCP, एक हैकर टीम जो आपूर्ति श्रृंखला हमलों पर ध्यान केंद्रित कर रही है, ने NPM पारिस्थितिकी तंत्र में खुले स्रोत के रूप में उपयोग के लिए कृमि शाई-हुलुद (विज्ञान कथा उपन्यास ड्यून में सैंडवॉर्म के नाम पर) जारी किया। डाउनस्ट्रीम हैकर्स को इसका उपयोग करने के लिए केवल कुछ विकल्पों और C2 कमांड कंट्रोल सर्वर को संशोधित करने की आवश्यकता है, जैसे कि अधिक खोजे गए क्लाउड डेवलपमेंट वातावरण को संक्रमित करना।
हैकर टीम ने अपने परिचय में यह भी स्पष्ट रूप से बताया कि यह वर्म आर्टिफिशियल इंटेलिजेंस के माध्यम से लिखा गया था। कोड की गुणवत्ता के बावजूद, यह वर्म पिछले कई हमलों में सफल रहा है। इसलिए, वर्म स्रोत कोड का खुलासा करने से वायरस फैल सकता है और अधिक डाउनस्ट्रीम हैकर्स द्वारा सीधे पुन: उपयोग किया जा सकता है।
सुरक्षा कंपनी ओएक्स के विश्लेषकों ने कहा कि यह समझ से परे है कि टीमपीसीपी उस वर्म कोड को ओपन सोर्स करेगा जिसे उसने वास्तविक मुकाबले में विकसित और परीक्षण किया था। हालाँकि, टीमपीसीपी टीम के दृष्टिकोण को देखते हुए, टीम अपने कौशल दिखाने पर अधिक ध्यान केंद्रित करती है। बेशक, यह भी संभव है कि अधिक हैकर्स इस वर्म का उपयोग जनता को भ्रमित करने के लिए कर सकते हैं और सुरक्षा कंपनियों के लिए टीमपीसीपी को ट्रैक करना अधिक कठिन बना सकते हैं।
अब Microsoft ने सीधे GitHub से वर्म रिपॉजिटरी को हटा दिया है और प्रकाशक @PedroTortoriello के खाते पर प्रतिबंध लगा दिया है। मुख्य रिपॉजिटरी को हटाने के अलावा, संबंधित फोर्क्स को भी हटा दिया गया है, जिसका अर्थ है कि कम से कम शाई-हुलुद स्रोत कोड GitHub पर नहीं पाया जा सकता है।
ऐसे वर्म के स्रोत कोड को सार्वजनिक रूप से जारी करना GitHub उपयोग समझौते का उल्लंघन है, और यह समझ में आता है कि वेयरहाउस को हटा दिया जाएगा और खाते को Microsoft द्वारा प्रतिबंधित कर दिया जाएगा। हालाँकि, प्रासंगिक स्रोत कोड को इंटरनेट पर सार्वजनिक कर दिया गया है, और डाउनस्ट्रीम हैकर्स अन्य तरीकों से स्रोत कोड प्राप्त करना जारी रख सकते हैं। इसलिए, जब तक टीमपीसीपी इच्छुक है, स्रोत कोड का प्रसार जारी रखने में कोई कठिनाई नहीं है।