Шай-Хулуд: Обяснение на червея npm Packages

Въздействие на атаката Шай-Хулуд върху веригата за доставки върху ръководството

Шай-Хулуд е все още активен днес. Този червей ускорява времето за въздействие. Това, което някога отнемаше седмици с троянски кон, сега се развива за часове. В резултат на това, разпространението е по-бързо и по-трудно за овладяване. Напредва чрез:

• Кражба на npm publish токени и GitHub тайни.
• Повторно публикуване в други npm пакети.
• Добавяне на злонамерени работни потоци на GitHub Actions за постоянство.

Кой е засегнат:

Всеки екип, който инсталира публични npm пакети, е изложен на риск. Освен това, разработчиците с кеширани npm или GitHub токени са изправени пред висок риск. CI изпълнителите, които използват широкообхватни секрети, също са уязвими.

Бизнес риск

Въздействието върху бизнеса нараства бързо. Откраднатите токени могат да доведат до поглъщане на акаунти, отвличане на пакети и дори злоупотреба с облака. Освен това, постоянството в работните процеси на GitHub затруднява почистването. Следователно, екипите трябва да третират Шай-Хулуд като продължаващ инцидент, а не като приключен.

Как работи атаката Shai-Hulud върху веригата за доставки в npm пакети

Цели и мотив на нападателя

Кампанията е оптимизирана за три неща:

• Първата цел е да крадат идентификационни данни в голям мащаб от лаптопи на разработчици и CI изпълнители. Това включва npm publish токени, GitHub токени и облачни идентификационни данни. Всъщност, множество анализи потвърждават систематично събиране на секретни данни, като например стартиране на TruffleHog и заявки за крайни точки на облачни метаданни.
• Втората цел е да разпространява се автоматично чрез злоупотреба с правата за публикуване на компрометираните поддържащи. В резултат на това една опорна точка бързо се разширява в много, тъй като се появяват нови заразени версии на други пакети без допълнителни човешки усилия.
• Третата цел е да персистират и се отстраняват надеждно чрез инфраструктурата на GitHub. Атакуващите създават публично хранилище с име „Shai-Hulud“ с двойна база64 data.jsonи освен това те внедряват работен процес, който сериализира ${{ toJSON(секрети) }} и го публикува в статичен уеб кукик.

Вероятната полза включва дълготраен достъп до регистри и изходен код, бързо странично движение към облачни акаунти и възможност за допълнително превръщане на веригата за доставки като оръжие. Публичните отчети показват, че частни хранилища са превърнати в публични с... „-миграция“ суфикс, който увеличава експозицията на данни и инерцията

Вътре в полезния товар на Шай-Хулуд: bundle.js в npm пакети

Шай-Хулуд кораби като голям, пакетиран с Webpack и силно минифициран JavaScript файл (bundle.js, около 3–3.7 MB) който се изпълнява от след инсталиране закачане package.jsonСледователно, Всяка инсталация задейства автоматично полезния товар. Този дизайн скрива идентификатори, компресира потока на управление и избутва цялата логика в един артефакт, който се изпълнява по време на инсталацията. Анализаторите постоянно потвърждават групирането на Webpack, необичайния размер на файла и изпълнението по време на инсталацията.

Черти на обфускация и антианализ, които ще видите в примерите:

• Минимизирана графика на модула с числови идентификатори на модули, оскъдни коментари и сплескан поток на управление. Освен това, Тази структура прави ръчния преглед изключително труден.
• Скриване на низове чрез base64 слоеве и помощни инструменти за изграждане. Например, Повтарящото се base64 кодиране и декодиране обикновено се появява около процедурите за ексфилтрация.
• Динамично изпращане чрез оценка-стилни шаблони и генерирани тела на функции, като по този начин се позволява на кода да променя поведението по време на изпълнение.
• Филтриране на ОС да се предпочита изпълнението на Linux и macOS, особено на CI сървъри и лаптопи за разработчици.

От функционална гледна точка, пакетът е модулен. В статиите са описани модули за откриване на операционна система, сканиране на файлова система и git secret, достъп до облачен SDK, операции с GitHub API и механизъм за разпространение, който редактира други пакети, притежавани от поддържащия. Всъщност, StepSecurity и ReversingLabs подчертават функция, която автоматично актуализира пакети със злонамерената кука.

Изпълнение по време на инсталиране в Shai-Hulud: Как npm пакетите задействат червея

Атаката започва, когато след инсталиране изпълнява възел bundle.js. В този момент скриптът инициализира и разопакова работното състояние в паметта, подготвяйки почвата за пълната работа на червея.

Откриване и събиране на реколтата

• Полезният товар извлича process.env и сканира локалните файлове за секретни данни с висока ентропия и префикси на токени. Освен това, той разширява покритието, като изпълнява TruffleHog.
• Той запитва крайни точки на метаданни в облака, за да събира краткотрайни идентификационни данни. Така например, обаждания до 169.254.169.254 на AWS или metadata.google.internal върху GCP често се появяват в заразени хостове.
• Следователно, Всички намерени идентификационни данни стават незабавно използваеми за публикуване на нови npm пакети или за пускане на работни процеси в GitHub.

идваща

• Червеят създава ново хранилище в GitHub с име Шай Хулуд и записва кодиран с double base64 data.json с подробности за платформата, дъмпове на средата и тайни. Както може да се види, това шумно поведение е лесно за забелязване, ако защитниците знаят къде да търсят.
• Той също така внедрява работен процес за действия в GitHub, често в клон с име шай-хулуд, който сериализира ${{ toJSON(secrets) }} и публикува данните в статичен уеб кукик. Освен това, този работен процес продължава, докато някой активно не го премахне.

Размножаване

• С всеки открит npm токен, полезният товар изброява всички пакети, собственост на компрометирания разработчик. След това извлича всеки tarball, инжектира bundle.js и запис след инсталация и публикува отново пакета.
• В резултат на това десетки заразени пакети могат да се появят за няколко часа, умножавайки радиуса на взрива в екосистемата.

Устойчивост и експозиция

• Червеят поддържа злонамерени работни процеси живи и в няколко случая превръща частните хранилища в публични с... „-миграция“ суфикс. Като цяло това гарантира, че нападателят ще поддържа позиция и ще увеличи максимално изтичането на данни.

Бележка за откриване на ключове
Това необичайно използване на ${{ toJSON(secrets) }} в работните потоци „Действия“ е рядкост. Ето защо, Екипите трябва да го третират като индикатор за висок сигнал по време на лов.

Саниран модел на работен процес, който трябва да търсите

Това необичайно използване на да се JSON(тайни) „в действията“ е индикатор за висок риск в този инцидент.

Псевдокод за разпространение на високо ниво (безопасен, описателен)