installation

Commandes d'installation supplémentaires

macOS

Homebrewvérifié · 100%

brew install sh4d0wup

local Homebrew formula metadata

Linux

Nixvérifié · 92%

nix profile install nixpkgs#sh4d0wup

nixpkgs package indexes · pkgs/by-name/sh/sh4d0wup/package.nix · Source: api.github.com

Arch Linux pacmanvérifié · 92%

sudo pacman -S sh4d0wup

Arch Linux sync databases · sh4d0wup · Source: geo.mirror.pkgbuild.com

aperçu

Résumé du paquet

Signing-key abuse and update exploitation framework

Liens du projet

Commandes et alias

sh4d0wup

historique

Historique du projet et usages

sh4d0wup is kpcyrd's Rust-based signing-key abuse and update-exploitation framework. It can proxy a legitimate update service, selectively alter artifacts, and sign or route malicious updates for controlled supply-chain security research.

Historique du projet

kpcyrd developed sh4d0wup as a Rust framework for researching 'shadow updates': targeted, malicious updates that remain acceptable to clients because they carry valid signatures. The official repository documents continued development across multiple releases and support for several package and artifact formats.

Historique d'adoption

The input records packages for Homebrew, Nix, and pacman, while the official README notes an Arch Linux binary and an official container image. This reflects adoption mainly among security researchers and distribution or update-system testers rather than general application users.

Modes d'utilisation

Security practitioners define attacks in YAML 'plot' files describing routing, selectors, artifact transformations, signatures, and keys. They can build plots in advance, launch a bait update server, proxy legitimate traffic, mutate packages or images, generate or use signing keys, and test whether an attack still executes. Plot files are user-supplied attack definitions, not a documented fixed-location application configuration file.

Pourquoi les passionnés de paquets s'y intéressent

sh4d0wup is notable to package specialists because it turns package metadata, artifact formats, signing infrastructure, dependency resolution, and targeted update routing into an explicit security-testing surface. It demonstrates how valid signatures alone do not guarantee that every client received the same update.

Chronologie

2022: Examples in the official README demonstrate infection of pacman, Debian, ELF, and OCI artifacts.
2025: Official repository lists version 0.11.0 released on April 2.

Related projects

The framework operates on ecosystems and formats including pacman packages, Debian packages, OCI images, Rust distribution updates, ELF binaries, and Git commits. The maintainer's related supply-chain work includes rebuilderd and reproducible-build experiments.

Sources

Official repository and README: https://github.com/kpcyrd/sh4d0wup
Official repository release list: https://github.com/kpcyrd/sh4d0wup/releases
input.source_facts.package-manager

posture de sécurité

Niveau de risque : red

escape, surveillance, or offensive capability signal.

Classificateur de risque

risque red · confiance moyen · escape-surveillance-offensive

Pourquoi

escape, surveillance, or offensive capability signal

Signaux

text:exploit

Comportement d'installation

Aucun hook post-install Homebrew n’est enregistré dans les métadonnées de formule.
Les métadonnées de bottle Homebrew sont disponibles pour 6 plateformes.
S’installe avec 4 dépendances d’exécution.
Les métadonnées de compilation listent 3 dépendances de compilation.

Revue recommandée

Avant une utilisation sans surveillance par un agent, vérifiez si l'outil lit des identifiants en clair, écrit un état distant, publie des artefacts ou lance des plugins.

exécutables

Exécutables installés

Commande	Type	Exposition	Note
`sh4d0wup`	cli	exécutable global

fraîcheur

Version et fraîcheur

Ces signaux séparent l'âge de génération de la page, l'activité du gestionnaire de paquets et la comparaison avec les versions amont. Un retard de version n'est signalé que lorsqu'une URL de preuve et des versions comparables sont présentes.

page générée2026-09-19

version du gestionnaire0.11.1

gestionnaire mis à jour2026-09-14

données localesOK

amontà jour

dernière version détectéev0.11.1

https://github.com/kpcyrd/sh4d0wup

OKAucun avertissement de fraîcheur n'a été généré.

métadonnées d'installation

Métadonnées du paquet

Clé du paquet	brew:sh4d0wup
Version	0.11.1
Gestionnaire de paquets	Homebrew
Page du gestionnaire de paquets	https://formulae.brew.sh/formula/sh4d0wup
Page d'accueil	https://github.com/kpcyrd/sh4d0wup
Dépôt	https://github.com/kpcyrd/sh4d0wup
Licence	GPL-3.0-or-later
Archive source	https://github.com/kpcyrd/sh4d0wup/archive/refs/tags/v0.11.1.tar.gz
Dernière mise à jour	2026-09-14T12:20:55+02:00
Pulse	updated
Dépendances	openssl@3, pcsc-lite, xz, zstd
Dépendances de compilation	llvm, pkgconf, rust
Bouteille	disponible (sur arm64_linux, arm64_sequoia, arm64_sonoma, arm64_tahoe, sonoma, x86_64_linux)
post-install Homebrew	non défini
Service	aucun déclaré

faits du registre

Détails de la base source

Source Database	Homebrew formula API
Tap	homebrew/core
Full Name	sh4d0wup
Version Scheme	0
Revision	0
Bottle Stable Root URL	https://ghcr.io/v2/homebrew/core
Deprecated	no
Disabled	no
Keg Only	no
URL Keys	stable

correspondances dans les bases sources

Autres enregistrements de gestionnaires de paquets

Les correspondances proviennent d’index externes de gestionnaires de paquets et restent séparées des liens de paquets Automic Vault locaux.

Nix95%

sh4d0wup

nix profile install nixpkgs#sh4d0wup

normalized package name match
Correspondance par : Sh4d0wup

nixpkgs package indexes · api.github.com · nixpkgs package indexes: pkgs/by-name/sh/sh4d0wup/package.nix from https://api.github.com/repos/NixOS/nixpkgs/git/trees/master?recursive=1

pacman95%

sh4d0wup 0.11.1-1

Signing-key abuse and update exploitation framework

https://github.com/kpcyrd/sh4d0wup

sudo pacman -S sh4d0wup

License: GPL-3.0-or-later
Architecture: x86_64
14 Dépendances
normalized package name match
Correspondance par : Sh4d0wup

Arch Linux sync databases · geo.mirror.pkgbuild.com · Arch Linux sync databases: sh4d0wup from https://geo.mirror.pkgbuild.com/extra/os/x86_64/extra.db.tar.gz

graphe de paquets

Les liens viennent du graphe local de relations entre paquets, des suppléments, des dépendances, des correspondances d'écosystèmes et de l'appartenance aux hubs.

piste source

Généré depuis les données du dépôt

Cette page est servie par av-web depuis l'artéfact SQLite privé des paquets généré par scripts/generate-pkg-sqlite.py.

Combined YAML source

View the package source record on GitHub.

combined/sh4d0wup.yml

Sources utilisées

Geiger risk classifier
cross-ecosystem install command graph
curated package history
external package-manager database matches
package relationship graph
package version freshness
package-page enrichment
pkg.so package database
pkgdb category and tag curation

Installer sh4d0wup avec Homebrew, Nix, pacman