Shai-Hulud: npm Paketləri Qurdunun İzahı

Şay-Hulud Təchizat Zəncirinə Hücumun İcraçı Təsiri

Shai-Hulud bu gün də aktivdir. Bu qurd təsir qrafikini sürətləndirir. Bir vaxtlar troyanla həftələrlə davam edən şey indi saatlarla açılır. Nəticədə, yayılma daha sürətli və cilovlamaq daha çətindir. Bu, aşağıdakılarla irəliləyir:

• npm publish tokenlərini və GitHub sirlərini oğurlamaq.
• Özünü digər npm paketlərinə yenidən dərc edir.
• Davamlılıq üçün zərərli GitHub Actions iş axınları əlavə olunur.

Kim təsirlənir:

İctimai npm paketlərini quraşdıran istənilən komanda təhlükə altındadır. Bundan əlavə, keşlənmiş npm və ya GitHub tokenləri olan tərtibatçılar yüksək risklə üzləşirlər. Genişmiqyaslı sirlərdən istifadə edən CI çalışdırıcıları da həssasdırlar.

Biznes riski

Biznesə təsiri sürətlə artır. Oğurlanmış tokenlər hesabın ələ keçirilməsinə, paketlərin oğurlanmasına və hətta buluddan sui-istifadəyə səbəb ola bilər. Bundan əlavə, GitHub iş axınlarında davamlılıq təmizləməyi çətinləşdirir. Buna görə də, komandalar Şai-Huluda qapalı bir hadisə kimi deyil, davam edən bir hadisə kimi yanaşmalıdırlar.

Shai-Hulud Təchizat Zəncirinin Hücumu npm paketlərində necə işləyir

Hücumçunun məqsədləri və motivləri

Kampaniya üç şey üçün optimallaşdırılır:

• Birinci məqsəd budur ki, miqyasda etimadnamələri oğurlamaq geliştirici noutbuklarından və CI çalışdırıcılarından. Buraya npm dərc tokenləri, GitHub tokenləri və bulud etimadnamələri daxildir. Əslində, çoxsaylı təhlillər TruffleHog-un işə salınması və bulud metaməlumatlarının son nöqtələrinə sorğu edilməsi kimi sistematik gizli məlumat toplamağı təsdiqləyir.
• İkinci məqsəd isə avtomatik olaraq yayılır pozulmuş texniki xidmət təminatçılarının nəşr hüquqlarından sui-istifadə etməklə. Nəticədə, bir dayaq tez bir zamanda bir çoxuna yayılır, çünki digər paketlərin yeni yoluxmuş versiyaları əlavə insan səyi olmadan ortaya çıxır.
• Üçüncü məqsəd isə etibarlı şəkildə davam edin və eksfiltrasiya edin GitHub infrastrukturu vasitəsilə. Hücumçular ikiqat bazalı “Shai-Hulud” adlı ictimai repo yaradırlar64 data.jsonvə əlavə olaraq, onlar seriallaşdıran bir iş axını qururlar ${{ toJSON(sirlər) }} və onu statik vebhook-a yerləşdirir.

Ehtimal olunan nəticəyə reyestrlərə və mənbə kodlarına uzunmüddətli giriş, bulud hesablarına sürətli lateral keçid və təchizat zəncirini daha da silahlandırmaq seçimi daxildir. İctimai hesabatlar göstərir ki, özəl depolar ictimaiyyətə açıqdır “-miqrasiya” məlumatların təsirini və impulsunu artıran şəkilçi

Şai-Hulud yükünün içərisində: bundle.js npm Paketlərində

Şay-Hulud gəmiləri böyük, Webpack-paketli və çox minifləşdirilmiş JavaScript faylı (bundle.js, təxminən 3–3.7 MB) birdən icra edən quraşdırma sonrası ilgək paket.jsonNəticə etibarilə, Hər quraşdırma avtomatik olaraq faydalı yükü işə salır. Bu dizayn identifikatorları gizlədir, idarəetmə axınını sıxışdırır və bütün məntiqi quraşdırma zamanı işə düşən tək bir artefakta itələyir. Analitiklər ardıcıl olaraq Webpack paketini, qeyri-adi fayl ölçüsünü və quraşdırma müddətinin icrasını təsdiqləyirlər.

Nümunələrdə görəcəyiniz qarışıqlıq və anti-analiz xüsusiyyətləri:

• Minifiqləşdirilmiş modul qrafiki rəqəmli modul ID-ləri, seyrək şərhlər və düzləşdirilmiş idarəetmə axını ilə. Üstəlik, Bu struktur əl ilə yoxlamanı olduqca çətinləşdirir.
• İp gizlətmə base64 təbəqələri və tikinti köməkçiləri vasitəsilə. Məsələn, təkrarlanan base64 kodlaşdırması və dekodlanması adətən eksfiltrasiya prosedurları ətrafında görünür.
• Dinamik göndərmə vasitəsilə qiymətləndir-stil nümunələri və yaradılan funksiya gövdələri, buna görə də kodun iş vaxtında davranışı dəyişdirməsinə imkan verir.
• ƏS filtrləmə Xüsusilə CI çalışanlarında və geliştirici noutbuklarında Linux və macOS icrasına üstünlük vermək.

Funksional baxımdan, dəst moduldur. Yazılar, ƏS kəşfi, fayl sistemi və git gizli skanları, bulud SDK girişi, GitHub API əməliyyatları və saxlayıcının sahib olduğu digər paketləri redaktə edən yayma mühərriki üçün modulları təsvir edir. Əslində, StepSecurity və ReversingLabs hər ikisi zərərli çəngəl ilə paketləri avtomatik olaraq yeniləyən bir funksiyanı vurğulayır.

Shai-Hulud-da Quraşdırma Zamanı İcrası: npm Paketləri Qurdu Necə Tetikleyir

Hücum nə vaxt başlayır postinstall node işlədir bundle.js. Bu mərhələdə skript yaddaşdakı iş vəziyyətini işə salır və paketdən çıxarır və bununla da qurdun tam işləməsi üçün zəmin yaradır.

Kəşf və məhsul yığımı

• Faydalı yük, process.env faylını zibilləyir və yüksək entropiyalı sirlər və token prefiksləri üçün yerli faylları skan edir. Bundan əlavə, TruffleHog-u işə salmaqla əhatə dairəsini genişləndirir.
• Qısamüddətli etimadnamələri toplamaq üçün bulud metaməlumatlarının son nöqtələrini sorğulayır. Misal üçün, zənglər 169.254.169.254 AWS-də və ya metadata.google.internal GCP üzərində tez-tez yoluxmuş hostlarda görünür.
• Nəticədə, Tapılan hər hansı bir etimadnamə dərhal yeni npm paketlərini dərc etmək və ya GitHub iş axınlarını təkanlamaq üçün istifadə edilə bilər.

Eksfiltrasiya

• Qurd adlı yeni GitHub reposu yaradır Şai Hulud və ikiqat base64 kodlu yazır data.json platforma detalları, mühit boşluqları və sirrlərlə. Göründüyü kimi, müdafiəçilər hara baxacaqlarını bilirlərsə, bu səs-küylü davranışı asanlıqla aşkar etmək olar.
• Həmçinin, tez-tez adlı bir budaqda GitHub Actions iş axını qurur şai-hulud, seriyalaşdıran ${{ toJSON(secrets) }} və məlumatları statik vebhook-a yerləşdirir. Bundan əlavə, bu iş axını kimsə onu aktiv şəkildə silənə qədər davam edir.

Artma

• Aşkar edilmiş hər hansı bir npm tokeni ilə, faydalı yük, pozulmuş saxlayıcıya məxsus bütün paketləri sadalayır. Daha sonra, hər bir tarballı alır, bundle.js və postinstall girişini yerləşdirir və paketi yenidən dərc edir.
• Nəticədə, bir neçə saat ərzində onlarla yoluxmuş paket peyda ola bilər və bu da ekosistemdəki partlayış radiusunu çoxaldır.

Davamlılıq və məruz qalma

• Qurd zərərli iş axınlarını canlı saxlayır və bir neçə halda şəxsi repozitoriyaları public-ə çevirir “-miqrasiya” şəkilçi. Ümumilikdə, bu, hücumçunun dayaq mövqeyini qorumasını və məlumat sızmasını maksimum dərəcədə artırmasını təmin edir.

Açar aşkarlama qeydi
Bu qeyri-adi istifadə ${{ toJSON(secrets) }} Actions iş axınları nadir hallarda rast gəlinir. Buna görə də, Komandalar ov zamanı buna yüksək siqnal göstəricisi kimi yanaşmalıdırlar.

Axtarmalı olduğunuz dezinfeksiya edilmiş iş axını nümunəsi

Bu qeyri-adi istifadə üçün JSON(sirlər) Actions bu hadisədə yüksək siqnal göstəricisidir.

Yüksək səviyyəli yayılma psevdo-kodu (təhlükəsiz, təsviri)