শাই-হুলুদ: এনপিএম প্যাকেজ ওয়ার্মের ব্যাখ্যা

শাই-হুলুদ সরবরাহ শৃঙ্খল আক্রমণের নির্বাহী প্রভাব

শাই-হুলুদ আজও সক্রিয়। এই ওয়ার্মটি প্রভাবের সময়কালকে ত্বরান্বিত করে। যা একসময় একটি ট্রোজানের মাধ্যমে ঘটতে সপ্তাহখানেক সময় নিত, এখন তা কয়েক ঘণ্টার মধ্যেই ঘটে। ফলে, এর বিস্তার দ্রুততর এবং তা নিয়ন্ত্রণ করা আরও কঠিন। এটি যেভাবে অগ্রসর হয়:

• npm publish টোকেন এবং GitHub সিক্রেট চুরি করা।
• নিজেকে অন্যান্য এনপিএম প্যাকেজে পুনরায় প্রকাশ করা।
• স্থায়িত্বের জন্য ক্ষতিকর গিটহাব অ্যাকশনস ওয়ার্কফ্লো যোগ করা হচ্ছে।

কারা আক্রান্ত:

যে কোনো দল যারা পাবলিক এনপিএম প্যাকেজ ইনস্টল করে, তারা ঝুঁকিতে থাকে। এছাড়াও, ক্যাশ করা এনপিএম বা গিটহাব টোকেন ব্যবহারকারী ডেভেলপাররা উচ্চ ঝুঁকির সম্মুখীন হন। যেসব সিআই রানার ব্যাপক পরিসরের সিক্রেট ব্যবহার করে, তারাও ঝুঁকিপূর্ণ।

ব্যবসায়িক ঝুঁকি

এর ব্যবসায়িক প্রভাব দ্রুত বৃদ্ধি পায়। চুরি হওয়া টোকেনের কারণে অ্যাকাউন্ট দখল, প্যাকেজ হাইজ্যাকিং এবং এমনকি ক্লাউডের অপব্যবহারও হতে পারে। এছাড়াও, গিটহাব ওয়ার্কফ্লোতে এর স্থায়িত্বের কারণে এটি পরিষ্কার করা আরও কঠিন হয়ে পড়ে। অতএবদলগুলোকে অবশ্যই শাই-হুলুদকে একটি চলমান ঘটনা হিসেবে বিবেচনা করতে হবে, সমাপ্ত ঘটনা হিসেবে নয়।

npm প্যাকেজে শাই-হুলুদ সাপ্লাই চেইন অ্যাটাক কীভাবে কাজ করে

আক্রমণকারীর উদ্দেশ্য ও প্রেরণা

এই প্রচারাভিযানটি তিনটি বিষয়কে সর্বোত্তম করে তোলে:

• প্রথম উদ্দেশ্য হল ব্যাপক হারে পরিচয়পত্র চুরি ডেভেলপারদের ল্যাপটপ এবং সিআই রানার থেকে। এর মধ্যে রয়েছে এনপিএম পাবলিশ টোকেন, গিটহাব টোকেন এবং ক্লাউড ক্রেডেনশিয়াল। প্রকৃতপক্ষে, একাধিক বিশ্লেষণ পদ্ধতিগতভাবে গোপন তথ্য সংগ্রহের বিষয়টি নিশ্চিত করেছে, যেমন ট্রাফলহগ চালানো এবং ক্লাউড মেটাডেটা এন্ডপয়েন্ট কোয়েরি করা।
• দ্বিতীয় উদ্দেশ্য হলো স্বয়ংক্রিয়ভাবে প্রচার করুন ক্ষতিগ্রস্ত রক্ষণাবেক্ষণকারীদের প্রকাশনা অধিকারের অপব্যবহারের মাধ্যমে এটি ঘটে। এর ফলে, একটি ঘাঁটি দ্রুত অনেকগুলিতে প্রসারিত হয়, কারণ অতিরিক্ত মানবিক প্রচেষ্টা ছাড়াই অন্যান্য প্যাকেজের নতুন সংক্রামিত সংস্করণগুলি উপস্থিত হয়।
• তৃতীয় উদ্দেশ্যটি হলো নির্ভরযোগ্যভাবে টিকে থাকে এবং বেরিয়ে যায় গিটহাব পরিকাঠামোর মাধ্যমে আক্রমণকারীরা “Shai-Hulud” নামে একটি ডাবল বেস৬৪ পাবলিক রিপো তৈরি করে। ডেটা.জেসনএবং এর পাশাপাশি তারা এমন একটি ওয়ার্কফ্লো স্থাপন করে যা সিরিয়ালাইজ করে ${{ toJSON(secrets) }} এবং এটিকে একটি স্ট্যাটিক ওয়েবহুকে পোস্ট করে।

এর সম্ভাব্য লাভের মধ্যে রয়েছে রেজিস্ট্রি এবং সোর্স কোডে দীর্ঘস্থায়ী প্রবেশাধিকার, ক্লাউড অ্যাকাউন্টে দ্রুত স্থানান্তর, এবং সাপ্লাই চেইনকে আরও শক্তিশালী করার সুযোগ। প্রকাশ্য প্রতিবেদন থেকে দেখা যায়, প্রাইভেট রিপোগুলোকে পাবলিক করে দেওয়া হয়েছে। “-অভিবাসন” প্রত্যয়, যা ডেটার প্রকাশ এবং গতি বৃদ্ধি করে

শাই-হুলুদ পেলোডের ভিতরে: bundle.js এনপিএম প্যাকেজে

শাই-হুলুদ জাহাজ হিসেবে বৃহৎ, ওয়েবপ্যাক-বান্ডেল করা এবং ব্যাপকভাবে সংকুচিত জাভাস্ক্রিপ্ট ফাইল (bundle.js(প্রায় ৩-৩.৭ এমবি) যেটি একটি থেকে কার্যকর করে পোস্টইনস্টল হুক ইন package.jsonফলস্বরূপ, প্রতিটি ইনস্টলেশন স্বয়ংক্রিয়ভাবে পেলোডটি চালু করে। এই ডিজাইনটি আইডেন্টিফায়ার গোপন রাখে, কন্ট্রোল ফ্লো সংকুচিত করে এবং সমস্ত লজিককে একটিমাত্র আর্টিফ্যাক্টের মধ্যে রাখে যা ইনস্টলেশনের সময় কার্যকর হয়। বিশ্লেষকরা ধারাবাহিকভাবে ওয়েবপ্যাক বান্ডলিং, অস্বাভাবিক ফাইলের আকার এবং ইনস্টলেশন-কালীন কার্যকর হওয়ার বিষয়টি নিশ্চিত করেছেন।

নমুনাগুলিতে আপনি যে ধোঁয়াশা এবং বিশ্লেষণ-বিরোধী বৈশিষ্ট্যগুলি দেখতে পাবেন:

• সংক্ষিপ্ত মডিউল গ্রাফ সংখ্যাসূচক মডিউল আইডি, সংক্ষিপ্ত মন্তব্য এবং সরলীকৃত নিয়ন্ত্রণ প্রবাহ সহ। অধিকন্তু, এই কাঠামোটি হাতে-কলমে পর্যালোচনাকে অত্যন্ত কঠিন করে তোলে।
• স্ট্রিং লুকানো বেস৬৪ লেয়ার এবং কনস্ট্রাকশন হেল্পারের মাধ্যমে। উদাহরণস্বরূপ, বারবার বেস৬৪ এনকোডিং এবং ডিকোডিং সাধারণত তথ্য পাচারের কার্যকলাপের আশেপাশে দেখা যায়।
• গতিশীল প্রেরণ দ্বারা স্পষ্টস্টাইল প্যাটার্ন এবং জেনারেটেড ফাংশন বডি, যার ফলে রানটাইমে কোডের আচরণ পরিবর্তন করা সম্ভব হয়।
• ওএস ফিল্টারিং বিশেষ করে সিআই রানার এবং ডেভেলপার ল্যাপটপে লিনাক্স ও ম্যাকওএস-এ এক্সিকিউশনকে অগ্রাধিকার দেওয়া।

কার্যকরী দৃষ্টিকোণ থেকে, বান্ডেলটি মডিউলার। লেখাগুলোতে ওএস ডিসকভারি, ফাইলসিস্টেম ও গিট সিক্রেট স্ক্যান, ক্লাউড এসডিকে অ্যাক্সেস, গিটহাব এপিআই অপারেশন এবং এমন একটি প্রোপাগেশন ইঞ্জিনের মডিউলগুলোর বর্ণনা দেওয়া হয়েছে, যা মেইনটেইনারের মালিকানাধীন অন্যান্য প্যাকেজ সম্পাদনা করে। প্রকৃতপক্ষে, স্টেপসিকিউরিটি এবং রিভার্সিংল্যাবস উভয়ই এমন একটি ফাংশনের ওপর আলোকপাত করে, যা স্বয়ংক্রিয়ভাবে ক্ষতিকর হুকসহ প্যাকেজগুলো আপডেট করে।

শাই-হুলুদে ইনস্টল-সময়ের এক্সিকিউশন: যেভাবে এনপিএম প্যাকেজগুলো ওয়ার্মটিকে সক্রিয় করে

আক্রমণ শুরু হয় যখন পোস্টইনস্টল নোড চালায় bundle.js. এই পর্যায়ে, স্ক্রিপ্টটি মেমরিতে ওয়ার্কিং স্টেট ইনিশিয়ালাইজ ও আনপ্যাক করে, যা ওয়ার্মটির পূর্ণাঙ্গ অপারেশনের জন্য ক্ষেত্র প্রস্তুত করে।

আবিষ্কার এবং ফসল সংগ্রহ

• পেলোডটি process.env ফাইলটি ডাম্প করে এবং উচ্চ-এনট্রপির সিক্রেট ও টোকেন প্রিফিক্সের জন্য স্থানীয় ফাইলগুলো স্ক্যান করে। এছাড়াও, এটি TruffleHog চালানোর মাধ্যমে এর পরিধি আরও বিস্তৃত করে।
• এটি স্বল্পস্থায়ী ক্রেডেনশিয়াল সংগ্রহ করার জন্য ক্লাউড মেটাডেটা এন্ডপয়েন্টগুলোতে কোয়েরি করে। এই ক্ষেত্রে, কল করে 169.254.169.254 AWS-এ অথবা metadata.google.internal GCP-তে এগুলো প্রায়শই সংক্রামিত পোষকদেহে দেখা যায়।
• অতএব, প্রাপ্ত যেকোনো ক্রেডেনশিয়াল নতুন এনপিএম প্যাকেজ প্রকাশ করতে বা গিটহাব ওয়ার্কফ্লো পুশ করতে অবিলম্বে ব্যবহারযোগ্য হয়ে ওঠে।

বহিষ্কার

• ওয়ার্মটি নামে একটি নতুন গিটহাব রিপো তৈরি করে। শাই হুলুদ এবং একটি ডাবল বেস৬৪-এনকোডেড লেখে data.json প্ল্যাটফর্মের বিবরণ, এনভায়রনমেন্ট ডাম্প এবং গোপনীয় তথ্য সহ। যেমনটা দেখা যাচ্ছে, ডিফেন্ডাররা যদি জানে কোথায় খুঁজতে হবে, তবে এই গোলযোগপূর্ণ আচরণটি সহজেই শনাক্ত করা যায়।
• এটি একটি GitHub Actions ওয়ার্কফ্লোও স্থাপন করে, প্রায়শই একটি নির্দিষ্ট নামের ব্রাঞ্চে। শাই-হুলুদ, যা ক্রমিক করে ${{ toJSON(secrets) }} এবং ডেটা একটি স্ট্যাটিক ওয়েবহুকে পোস্ট করে। অধিকন্তু, এই কার্যপ্রবাহটি ততক্ষণ পর্যন্ত স্থায়ী থাকে যতক্ষণ না কেউ সক্রিয়ভাবে এটিকে সরিয়ে দেয়।

প্রসারণ

• যেকোনো আবিষ্কৃত এনপিএম টোকেন ব্যবহার করে, পেলোডটি হ্যাক হওয়া রক্ষণাবেক্ষণকারীর মালিকানাধীন সমস্ত প্যাকেজের তালিকা তৈরি করে। এরপর, এটি প্রতিটি টারবল ডাউনলোড করে, তাতে bundle.js ও একটি postinstall এন্ট্রি যুক্ত করে এবং প্যাকেজটি পুনরায় প্রকাশ করে।
• এর ফলে, কয়েক ঘণ্টার মধ্যেই কয়েক ডজন সংক্রমিত প্যাকেজ দেখা দিতে পারে, যা সমগ্র বাস্তুতন্ত্র জুড়ে এর প্রভাবের পরিধিকে বহুগুণে বাড়িয়ে দেয়।

অধ্যবসায় এবং সংস্পর্শ

• এই ওয়ার্মটি ক্ষতিকর ওয়ার্কফ্লো চালু রাখে এবং বেশ কয়েকটি ক্ষেত্রে প্রাইভেট রিপোজিটরিগুলোকে পাবলিক করে দেয়। “-অভিবাসন” সব মিলিয়ে, এটি আক্রমণকারীকে তার অবস্থান ধরে রাখতে এবং ডেটা ফাঁসের পরিমাণ সর্বোচ্চ করতে সাহায্য করে।

মূল সনাক্তকরণ নোট
এই অস্বাভাবিক ব্যবহার ${{ toJSON(secrets) }} অ্যাকশন ওয়ার্কফ্লোতে এটি বিরল। অতএব, শিকারের সময় দলগুলোর এটিকে একটি উচ্চ সংকেত হিসেবে বিবেচনা করা উচিত।

একটি পরিমার্জিত কর্মপ্রবাহের ধরণ যা আপনার খুঁজে বের করা উচিত

এই অস্বাভাবিক ব্যবহার থেকে JSON(গোপনীয়তা) এই ঘটনায় ‘অ্যাকশনস’ একটি উচ্চ-সংকেত সূচক।

উচ্চ-স্তরের প্রচার ছদ্ম-কোড (নিরাপদ, বর্ণনামূলক)