Шай-Хулуд: тлумачэнне чарвяка пакетаў npm

Уплыў атакі Шай-Хулуда на ланцужок паставак на кіраўніцтва

Shai-Hulud усё яшчэ актыўны і сёння. Гэты чарвяк паскарае час уздзеяння. Тое, што раней займала тыдні ў выпадку з траянам, цяпер адбываецца за гадзіны. У выніку распаўсюджванне адбываецца хутчэй і яго цяжэй стрымаць. Яно прасоўваецца шляхам:

• Крадзеж публікацыйных токенаў npm і сакрэтаў GitHub.
• Паўторная публікацыя сябе ў іншых npm-пакетах.
• Даданне шкоднасных працоўных працэсаў GitHub Actions для захавання.

Каго гэта тычыцца:

Любая каманда, якая ўсталёўвае публічныя npm-пакеты, падвяргаецца ўздзеянню. Больш за тое, распрацоўшчыкі з кэшаванымі npm-токенамі або GitHub сутыкаюцца з высокай рызыкай. Таксама ўразлівыя CI-менеджэры, якія выкарыстоўваюць сакрэты шырокага ахопу.

Бізнес-рызыка

Уплыў на бізнес хутка расце. Скрадзеныя токены могуць прывесці да захопу акаўнта, захопу пакетаў і нават злоўжывання воблакам. Акрамя таго, захаванне працоўных працэсаў GitHub абцяжарвае іх ачыстку. ТамуКаманды павінны разглядаць Шай-Хулуд як бягучы інцыдэнт, а не як завершаны.

Як працуе атака Shai-Hulud на ланцужок паставак у npm-пакетах

Мэты і матыў нападніка

Кампанія аптымізуе тры рэчы:

• Першая мэта — крадзеж уліковых дадзеных у вялікіх маштабах з ноўтбукаў распрацоўшчыкаў і кіраўнікоў неперарыўнай інтэграцыі. Гэта ўключае ў сябе токены публікацыі npm, токены GitHub і воблачныя ўліковыя дадзеныя. Фактычна, шматлікія аналізы пацвярджаюць сістэматычны збор сакрэтных дадзеных, напрыклад, запуск TruffleHog і запыт канчатковых кропак воблачных метададзеных.
• Другая мэта — распаўсюджвацца аўтаматычна злоўжываючы правамі на публікацыю кампраметаваных распрацоўшчыкаў. У выніку адзін плацдарм хутка пашыраецца на многія, бо новыя заражаныя версіі іншых пакетаў з'яўляюцца без дадатковых намаганняў чалавека.
• Трэцяя мэта — захоўвацца і надзейна выходзіць праз інфраструктуру GitHub. Зламыснікі ствараюць публічны рэпазітар пад назвай «Shai-Hulud» з падвойнай базай64 data.jsonі, акрамя таго, яны ўкараняюць працоўны працэс, які серыялізуе ${{ toJSON(сакрэты) }} і адпраўляе яго на статычны вэбхук.

Верагодная выгада ўключае працяглы доступ да рэестраў і зыходнага кода, хуткі пераход у воблачныя акаўнты і магчымасць далейшага ўзбраення ланцужка паставак. Публічная справаздачнасць паказвае, што прыватныя рэпазітарыі ператвараюцца ў публічныя з... «-міграцыя» суфікс, які павялічвае даступнасць дадзеных і імпульс

Унутры карыснай нагрузкі Шай-Хулуда: bundle.js у пакетах npm

Шай-Хулуд адпраўляецца як вялікі, аб'яднаны з Webpack і моцна мініфікаваны Файл JavaScript (bundle.js, каля 3–3.7 МБ) які выконваецца з пасля ўстаноўкі падчапіць package.jsonТакім чынам, Кожная ўсталёўка аўтаматычна запускае карысную нагрузку. Такая канструкцыя хавае ідэнтыфікатары, сціскае паток кіравання і змяшчае ўсю логіку ў адзін артэфакт, які выконваецца падчас усталёўкі. Аналітыкі паслядоўна пацвярджаюць аб'яднанне Webpack, незвычайны памер файла і выкананне падчас усталёўкі.

Рысы заблытвання і антыаналізу, якія вы ўбачыце ў прыкладах:

• Мініфікаваны граф модуляў з лічбавымі ідэнтыфікатарамі модуляў, рэдкімі каментарамі і сплюшчаным патокам кіравання. Больш за тое, такая структура надзвычай ускладняе ручную праверку.
• Схаванне радка праз слаі base64 і памочнікі пабудовы. Напрыклад, паўторнае кадаванне і дэкадаванне base64 звычайна з'яўляецца вакол працэдур экстрафільтрацыі.
• Дынамічная адпраўка праз эвалшаблоны ў стылі -і згенераваныя целы функцый, што дазваляе коду змяняць паводзіны падчас выканання.
• Фільтраванне АС аддаваць перавагу выкананню ў Linux і macOS, асабліва на чыстаканніковых прыладах і ноўтбуках распрацоўшчыкаў.

З функцыянальнага пункту гледжання, камплект з'яўляецца модульным. У артыкулах апісаны модулі для выяўлення аперацыйнай сістэмы, сканавання файлавых сістэм і сакрэтных дадзеных git, доступу да хмарных SDK, аперацый з API GitHub і механізму распаўсюджвання, які рэдагуе іншыя пакеты, якімі валодае распрацоўшчык. Фактычна, StepSecurity і ReversingLabs вылучаюць функцыю, якая аўтаматычна абнаўляе пакеты са шкоднасным перахопнікам.

Выкананне падчас усталёўкі ў Shai-Hulud: як npm-пакеты запускаюць чарвяка

Атака пачынаецца, калі пасля ўсталёўкі запускае вузел bundle.js. На гэтым этапе скрыпт ініцыялізуецца і распакоўвае працоўны стан у памяці, падрыхтоўваючы чарвяка да паўнавартаснай працы.

Адкрыццё і збор ураджаю

• Карысная нагрузка стварае дамп process.env і скануе лакальныя файлы на наяўнасць сакрэтаў з высокай энтрапіяй і прэфіксаў токенаў. Акрамя таго, яна пашырае пакрыццё, запускаючы TruffleHog.
• Ён запытвае канчатковыя кропкі метададзеных воблака для збору кароткатэрміновых уліковых дадзеных. Так, напрыклад, званкі да 169.254.169.254 на AWS або metadata.google.internal на GCP часта з'яўляюцца ў заражаных гаспадароў.
• Такім чынам, Любыя знойдзеныя ўліковыя дадзеныя адразу ж можна выкарыстоўваць для публікацыі новых npm-пакетаў або запуску працоўных працэсаў на GitHub.

Эксфільтрацыя

• Чарвяк стварае новы рэпазітар GitHub пад назвай Шай-Хулуд і запісвае падвойнае кадзіраванне base64 data.json з падрабязнасцямі платформы, дампамі асяроддзя і сакрэтамі. Як бачна, такую ​​​​шумную паводзіну лёгка заўважыць, калі абаронцы ведаюць, куды шукаць.
• Ён таксама размяшчае працоўны працэс GitHub Actions, часта ў галінцы з назвай шай-хулуд, які серыялізуе ${{ toJSON(secrets) }} і адпраўляе дадзеныя ў статычны вэбхук. Больш за тое, гэты працоўны працэс працягваецца, пакуль хтосьці актыўна яго не выдаліць.

Распаўсюджванне

• З любым выяўленым токенам npm карысная нагрузка пералічвае ўсе пакеты, якія належаць узламанаму распрацоўшчыку. Затым яна атрымлівае кожны tar-архіў, устаўляе bundle.js і запіс postinstall, а затым перапублікуе пакет.
• У выніку, дзясяткі заражаных пакетаў могуць з'явіцца за лічаныя гадзіны, што шматразова павялічвае радыус выбуху па ўсёй экасістэме.

Устойлівасць і ўздзеянне

• Чарвяк падтрымлівае працу шкоднасных працоўных працэсаў і ў некаторых выпадках пераводзіць прыватныя рэпазітарыі ў публічныя з дапамогай «-міграцыя» суфікс. У цэлым гэта гарантуе, што зламыснік захавае сваю пазіцыю і максімізуе ўцечку дадзеных.

Заўвага па выяўленні ключа
Гэта незвычайнае выкарыстанне ${{ toJSON(secrets) }} у працоўных працэсах "Дзеянні" сустракаецца рэдка. Такім чынам, Каманды павінны разглядаць гэта як важны сігнал падчас палявання.

Ачышчаны шаблон працоўнага працэсу, на які варта звярнуць увагу

Гэта незвычайнае выкарыстанне у JSON (сакрэты) Дзеянні з'яўляюцца важным паказчыкам у гэтым інцыдэнце.

Псеўдакод распаўсюджвання высокага ўзроўню (бяспечны, апісальны)