┌─────────────────────────────────────────────────────────────────┐
│                    ATTACK FLOW DIAGRAM                          │
├─────────────────────────────────────────────────────────────────┤
│                                                                 │
│  1. npm install          2. preinstall hook        3. Download  │
│  ───────────────► ─────────────────────► ──────────────────►   │
│                      setup_bun.js             Bun runtime       │
│                                                                 │
│  4. Execute payload      5. Credential theft    6. Exfiltrate   │
│  ───────────────────► ──────────────────► ─────────────────►   │
│    bun_environment.js      TruffleHog scan     GitHub repos     │
│                                                                 │
│  7. Self-propagate       8. Create runner      9. Destroy       │
│  ────────────────────► ─────────────────► ─────────────────►   │
│    Infect 100+ pkgs       "SHA1HULUD"       Wipe on failure    │
│                                                                 │
└─────────────────────────────────────────────────────────────────┘