ሻይ-ሁሉድ፡ የ npm ፓኬጆች Worm Explained

የሻይ-ሁሉድ የአቅርቦት ሰንሰለት ጥቃት አስፈፃሚ ተጽዕኖ

ሻይ-ሁሉድ ዛሬም ድረስ ንቁ ነው። ይህ ትል የተጽዕኖ ጊዜውን ያፋጥነዋል። በአንድ ወቅት ትሮጃን ለሳምንታት የፈጀበት ነገር አሁን በሰዓታት ውስጥ ይገለጣል። በዚህም ምክንያት ስርጭቱ ፈጣን እና ለመያዝ አስቸጋሪ ነው። የሚሄደው በ፦

• የ npm ህትመት ቶከኖችን እና የ GitHub ምስጢሮችን መስረቅ።
• እራሱን ወደ ሌሎች የnpm ፓኬጆች እንደገና ማተም።
• ለጽናት ተንኮል አዘል የጂቲኤችቢ እርምጃዎች የስራ ፍሰቶችን ማከል።

የሚነካው ማን ነው፡-

የሕዝብ npm ፓኬጆችን የሚጭን ማንኛውም ቡድን ተጋልጧል። ከዚህም በላይ፣ የተሸጎጠ npm ወይም የጂቲኤችቲ ቶከኖች ያላቸው ገንቢዎች ከፍተኛ አደጋ ይገጥማቸዋል። ሰፊ ስኮፕ ያላቸው ሚስጥሮችን የሚጠቀሙ የCI ሯጮችም ተጋላጭ ናቸው።

የንግድ አደጋ

የንግድ ተፅዕኖው በፍጥነት ያድጋል። የተሰረቁ ቶከኖች ወደ መለያ ቁጥጥር፣ የጥቅል ጠለፋ እና እንዲያውም የደመና አላግባብ መጠቀም ሊያስከትሉ ይችላሉ። በተጨማሪም፣ በጂትሆብ የስራ ፍሰቶች ውስጥ ያለው ጽናት ለማጽዳት አስቸጋሪ ያደርገዋል። ስለዚህ።ቡድኖች ሻይ-ሁሉድን እንደ ዝግ ክስተት ሳይሆን እንደ ቀጣይ ክስተት አድርገው መያዝ አለባቸው።

የሻይ-ሁሉድ የአቅርቦት ሰንሰለት ጥቃት በ npm ፓኬጆች ውስጥ እንዴት እንደሚሰራ

የአጥቂው ዓላማዎች እና ዓላማ

ዘመቻው ለሦስት ነገሮች ያመቻቻል፡

• የመጀመሪያው ዓላማው ማድረግ ነው በመጠን ላይ የምስክር ወረቀቶችን መስረቅ ከገንቢ ላፕቶፖች እና ከCI ሯጮች። ይህ የnpm ህትመት ቶከኖችን፣ የGitHub ቶከኖችን እና የደመና ምስክርነቶችን ያካትታል። እንደ እውነቱ ከሆነ፣ በርካታ ትንታኔዎች እንደ TruffleHog ማስኬድ እና የደመና ሜታዳታ የመጨረሻ ነጥቦችን መጠየቅ ያሉ ስልታዊ ሚስጥራዊ መሰብሰብን ያረጋግጣሉ።
• ሁለተኛው ዓላማ ደግሞ በራስ-ሰር ያሰራጩ የተጎዱትን የባለአደራዎች የህትመት መብቶችን አላግባብ በመጠቀም። በዚህም ምክንያት፣ አንድ ቦታ በፍጥነት ወደ ብዙ ሰዎች ይስፋፋል፣ ምክንያቱም አዳዲስ የተበከሉ የሌሎች ፓኬጆች ስሪቶች ያለ ተጨማሪ የሰው ኃይል ብቅ ይላሉ።
• ሦስተኛው ዓላማ ደግሞ በአስተማማኝ ሁኔታ መጽናት እና ማጣራት በጂትሁብ መሠረተ ልማት በኩል። አጥቂዎች “ሻይ-ሁሉድ” የሚል ስም ያለው የህዝብ ማከማቻ ድርብ መሠረት 64 ይፈጥራሉ። data.jsonእና በተጨማሪም ተከታታይ የስራ ፍሰት ይተክላሉ ${{ toJSON(secrets) }} እና ወደ የማይንቀሳቀስ የድር መንጠቆ ይለጥፋል።

ምናልባትም የሚከፈለው ትርፍ የመዝገቢያዎችን እና የምንጭ ኮድን ለረጅም ጊዜ የመጠቀም እድል፣ ወደ ደመና መለያዎች በፍጥነት የሚደረግ የጎን እንቅስቃሴ እና የአቅርቦት ሰንሰለቱን የበለጠ የጦር መሳሪያ የመጠቀም አማራጭን ያካትታል። የህዝብ ዘገባዎች የግል ማከማቻዎችን ለህዝብ በማዞር ያሳያሉ "-ፍልሰት" ድህረ ቅጥያ፣ ይህም የውሂብ ተጋላጭነትን እና ሞመንተምን ይጨምራል

በሻይ-ሁሉድ የክፍያ ጭነት ውስጥ፡ bundle.js በnpm ውስጥ ያሉ ጥቅሎች

ሻይ-ሁሉድ እንደ ትልቅ፣ የድር ጥቅል የተጠቀለለ እና በከፍተኛ ሁኔታ የተቀነሰ የጃቫስክሪፕት ፋይል (bundle.js, በግምት 3–3.7 ሜባ) ከ ድህረ-ጭነት ግባ package.jsonበዚህም ምክንያት, እያንዳንዱ ጭነት የክፍያ ጭነቱን በራስ-ሰር ያስጀምራል። ይህ ዲዛይን መለያዎችን ይደብቃል፣ የቁጥጥር ፍሰትን ይጨምቃል፣ እና ሁሉንም አመክንዮዎች በመጫን ጊዜ ወደሚፈጽመው አንድ ቅርስ ይገፋል። ተንታኞች የWebpack ጥቅል ማጠናቀቂያ፣ ያልተለመደ የፋይል መጠን እና የመጫኛ ጊዜ አፈፃፀምን በተከታታይ ያረጋግጣሉ።

በናሙናዎች ውስጥ የሚያዩዋቸው የማደብዘዝ እና የፀረ-ትንተና ባህሪያት፡

• የተቀነሰ የሞዱል ግራፍ በቁጥር ሞጁል መታወቂያዎች፣ በተቆራረጡ አስተያየቶች እና በተስተካከለ የቁጥጥር ፍሰት። ከዚህም በላይ, ይህ መዋቅር በእጅ የሚደረግ ግምገማን እጅግ በጣም ከባድ ያደርገዋል።
• ሕብረቁምፊ መደበቅ በመሠረት 64 ንብርብሮች እና የግንባታ ረዳቶች በኩል። ለምሳሌ, ተደጋጋሚ የቤዝ64 ኢንኮዲንግ እና ዲኮዲንግ ብዙውን ጊዜ በማውጣት ሂደቶች ዙሪያ ይታያሉ።
• ተለዋዋጭ ስርጭት በኩል ኢቫል-ቅጥ ቅጦች እና የተፈጠረ የተግባር አካላት፣ በዚህም ምክንያት ኮድ በሂደት ጊዜ ባህሪን እንዲቀይር ያስችላል።
• የስርዓተ ክወና ማጣሪያ በተለይም በCI ሯጮች እና በገንቢ ላፕቶፖች ላይ የሊኑክስ እና የማክሮሶፍት አፈፃፀምን መምረጥ።

ከተግባራዊ አንግል፣ ጥቅልሉ ሞዱላር ነው። Writeups ለኦኤስ ግኝት፣ የፋይል ስርዓት እና የጂት ሚስጥራዊ ቅኝቶች፣ የደመና SDK መዳረሻ፣ የጂቲኤችቲ ኤፒአይ ኦፕሬሽኖች እና አስተናጋጅ ባለቤት የሆኑባቸውን ሌሎች ፓኬጆችን የሚያርትዕ የፕሮፓጋንዳ ሞተር ሞጁሎችን ይገልፃሉ። እንደ እውነቱ ከሆነ፣ StepSecurity እና ReversingLabs ሁለቱም ፓኬጆችን በተንኮል መንጠቆ በራስ-ሰር የሚያዘምን ተግባር ያጎላሉ።

በሻይ-ሁሉድ የመጫኛ ጊዜ አፈፃፀም፡ የ npm ፓኬጆች ትሉን እንዴት እንደሚያስነሱ

ጥቃቱ የሚጀምረው መቼ ነው የድህረ-ጭነት ሩጫዎች ኖድ bundle.js. በዚህ ጊዜ፣ ስክሪፕቱ በማህደረ ትውስታ ውስጥ ያለውን የስራ ሁኔታ ይጀምራል እና ይከፍታል፣ ይህም የትል ሙሉ ስራውን ለመጀመር ደረጃ ያዘጋጃል።

ግኝት እና መሰብሰብ

• የክፍያ ጭነት dumps process.env እና ከፍተኛ ኢንትሮፒ ሚስጥሮችን እና የቶከን ቅድመ ቅጥያዎችን ለማግኘት የአካባቢ ፋይሎችን ይቃኛል። በተጨማሪም፣ TruffleHog ን በማስኬድ ሽፋኑን ያሰፋዋል።
• የአጭር ጊዜ ምስክርነቶችን ለመሰብሰብ የደመና ሜታዳታ የመጨረሻ ነጥቦችን ይጠይቃል። ለአብነት, ጥሪዎች ወደ 169.254.169.254 በ AWS ወይም metadata.google.internal በጂሲፒ (GCP) ላይ ብዙውን ጊዜ በበሽታው በተያዙ አስተናጋጆች ውስጥ ይታያሉ።
• በዚህም ምክንያት, ማንኛውም የተገኘ ማስረጃ አዲስ የnpm ፓኬጆችን ለማተም ወይም የGitHub የስራ ፍሰቶችን ለመግፋት ወዲያውኑ ጥቅም ላይ ሊውል ይችላል።

ፍልሰት

• ትሉ አዲስ የጂቲዩብ ማከማቻ ስም ይፈጥራል ሻይ-ሁሉድ እና ድርብ ቤዝ64-ኢንኮድ ያለው ይጽፋል data.json ከመድረክ ዝርዝሮች፣ ከአካባቢ ቆሻሻ መጣያዎች እና ምስጢሮች ጋር። እንደሚታየው፣ ተከላካዮች የት መፈለግ እንዳለባቸው የሚያውቁ ከሆነ ይህ ጫጫታ ባህሪ በቀላሉ ይታያል።
• እንዲሁም የጂቲኤችቲ እርምጃዎች የስራ ፍሰት ይተክላል፣ ብዙውን ጊዜ በተጠቀሰው ቅርንጫፍ ላይ shai-huludተከታታይ የሚያደርገው ${{ toJSON(secrets) }} እና ውሂቡን ወደ የማይንቀሳቀስ የድር መንጠቆ ይለጥፋል። በተጨማሪም፣ ይህ የስራ ፍሰት አንድ ሰው በንቃት እስኪያስወግደው ድረስ ይቀጥላል።

መስፋፋት

• በማንኛውም የተገኘ የnpm ቶከን፣ የክፍያ ሎዱ በተጎዳው አስተናጋጅ የተያዙትን ሁሉንም ፓኬጆች ይዘረዝራል። ከዚያም እያንዳንዱን ታርቦል ያወጣል፣ bundle.js እና የድህረ ጭነት ግቤት ይጭናል፣ እና ጥቅሉን እንደገና ያትማል።
• በዚህም ምክንያት፣ በደርዘን የሚቆጠሩ በበሽታው የተያዙ ፓኬጆች በጥቂት ሰዓታት ውስጥ ሊታዩ ይችላሉ፣ ይህም የፍንዳታ ራዲየስን በሥነ-ምህዳሩ ውስጥ ያባዛዋል።

ጽናት እና መጋለጥ

• ትሉ ተንኮል አዘል የስራ ፍሰቶችን ሕያው አድርጎ ያቆያል፣ እና በብዙ አጋጣሚዎች የግል ማከማቻዎችን ለሕዝብ ይገልብጣል "-ፍልሰት" ድህረ ቅጥያ። በአጠቃላይ፣ ይህ አጥቂው ቦታውን እንዲይዝ እና የውሂብ መፍሰስን ከፍ እንዲያደርግ ያረጋግጣል።

የቁልፍ ማወቂያ ማስታወሻ
ይህ ያልተለመደ አጠቃቀም ${{ toJSON(secrets) }} በድርጊቶች ውስጥ የስራ ፍሰቶች ብርቅ ናቸው። ስለዚህ, ቡድኖች በአደን ወቅት እንደ ከፍተኛ ምልክት አመልካች አድርገው ሊመለከቱት ይገባል።

መፈለግ ያለብዎት የተጣራ የስራ ፍሰት ንድፍ

ይህ ያልተለመደ አጠቃቀም ወደ ጄኤስኤን (ምስጢሮች) በዚህ ክስተት ውስጥ በ Actions ውስጥ ከፍተኛ ምልክት አመልካች ነው።

ከፍተኛ ደረጃ ያለው የስርጭት ስም-ኮድ (ደህንነቱ የተጠበቀ፣ ገላጭ)