Shai-Hulud: Objašnjenje crva npm paketa

Utjecaj napada Shai-Huluda na lanac snabdijevanja na rukovodstvo

Shai-Hulud je i danas aktivan. Ovaj crv ubrzava vremenski okvir uticaja. Ono što je nekada trajalo sedmicama kod trojanca, sada se odvija za nekoliko sati. Kao rezultat toga, širenje je brže i teže ga je obuzdati. Napreduje putem:

• Krađa npm tokena za objavljivanje i GitHub tajni.
• Ponovno objavljivanje sebe u drugim npm paketima.
• Dodavanje zlonamjernih GitHub Actions radnih procesa za trajnost.

Ko je pogođen:

Svaki tim koji instalira javne npm pakete je izložen riziku. Štaviše, programeri sa keširanim npm ili GitHub tokenima suočavaju se sa visokim rizikom. CI pokretači koji koriste široko dostupne tajne su također ranjivi.

Poslovni rizik

Utjecaj na poslovanje brzo raste. Ukradeni tokeni mogu dovesti do preuzimanja računa, otmice paketa, pa čak i zloupotrebe oblaka. Osim toga, upornost u GitHub radnim procesima otežava čišćenje. StogaTimovi moraju tretirati Shai-Hulud kao tekući incident, a ne kao završen.

Kako Shai-Hulud napad na lanac snabdijevanja funkcioniše u npm paketima

Ciljevi i motiv napadača

Kampanja je optimizirana za tri stvari:

• Prvi cilj je krađu akreditiva u velikim količinama sa laptopa programera i CI runera. To uključuje npm tokene za objavljivanje, GitHub tokene i cloud akreditive. U stvari, višestruke analize potvrđuju sistematsko prikupljanje tajnih podataka, kao što je pokretanje TruffleHog-a i ispitivanje krajnjih tačaka metapodataka u oblaku.
• Drugi cilj je da automatski se širi zloupotrebom prava objavljivanja kompromitovanih održavatelja. Kao rezultat toga, jedno uporište se brzo širi u mnoga, budući da se nove zaražene verzije drugih paketa pojavljuju bez dodatnog ljudskog napora.
• Treći cilj je da opstati i pouzdano se izvući putem GitHub infrastrukture. Napadači kreiraju javni repozitorij pod nazivom „Shai-Hulud“ s dvostrukom bazom64 data.json, a pored toga, oni uspostavljaju radni tok koji serijalizira ${{ toJSON(tajne) }} i objavljuje ga na statički webhook.

Vjerovatna korist uključuje dugotrajan pristup registrima i izvornom kodu, brzo lateralno kretanje prema cloud računima i mogućnost daljnjeg naoružanja lanca snabdijevanja. Javni izvještaji pokazuju da su privatni repozitorij prebačeni u javne sa... "-migracija" sufiks, koji povećava izloženost podacima i zamah

Unutar tereta Shai-Huluda: bundle.js u npm paketima

Shai-Hulud se isporučuje kao veliki, Webpack-u paketu i jako minificiran JavaScript fajl (bundle.js, oko 3–3.7 MB) koji se izvršava iz nakon instalacije zakačiti package.jsonPosljedično, Svaka instalacija automatski pokreće korisni teret. Ovaj dizajn skriva identifikatore, komprimira tok kontrole i gura svu logiku u jedan artefakt koji se izvršava tokom instalacije. Analitičari dosljedno potvrđuju grupisanje Webpack-a, neobičnu veličinu datoteke i izvršavanje tokom instalacije.

Osobine zamagljivanja i anti-analize koje ćete vidjeti u uzorcima:

• Graf minificiranih modula s numeričkim ID-ovima modula, rijetkim komentarima i izravnanim tokom upravljanja. Štaviše, Ova struktura izuzetno otežava ručni pregled.
• Skrivanje stringa putem base64 slojeva i pomoćnih alata za konstrukciju. Na primjer, Ponavljano base64 kodiranje i dekodiranje se obično pojavljuje oko rutina za eksfiltraciju.
• Dinamička otprema kroz eval-stil obrasce i generirana tijela funkcija, što omogućava kodu da promijeni ponašanje tokom izvođenja.
• Filtriranje operativnih sistema preferirati izvršavanje Linuxa i macOS-a, posebno na CI runerima i laptopima za razvojne programere.

Sa funkcionalnog stanovišta, paket je modularan. U radu se opisuju moduli za otkrivanje operativnog sistema, skeniranje datotečnog sistema i tajnih podataka gita, pristup cloud SDK-u, operacije GitHub API-ja i mehanizam za propagaciju koji uređuje druge pakete koje posjeduje održavatelj. U stvari, StepSecurity i ReversingLabs ističu funkciju koja automatski ažurira pakete sa zlonamjernim kodom.

Izvršavanje tokom instalacije u Shai-Huludu: Kako npm paketi pokreću crva

Napad počinje kada nakon instalacije pokreće node bundle.js. U ovom trenutku, skripta se inicijalizira i raspakirava radno stanje u memoriji, postavljajući temelje za puni rad crva.

Otkriće i žetva

• Korisni opterećenje ispisuje datoteku process.env i skenira lokalne datoteke u potrazi za tajnim podacima visoke entropije i prefiksima tokena. Osim toga, proširuje pokrivenost pokretanjem TruffleHog-a.
• Ispituje krajnje tačke metapodataka u oblaku kako bi prikupio kratkotrajne akreditive. Na primjer, poziva na 169.254.169.254 na AWS-u ili metadata.google.internal na GCP-u se često pojavljuju kod zaraženih domaćina.
• Shodno tome, Svaki pronađeni akreditiv postaje odmah upotrebljiv za objavljivanje novih npm paketa ili slanje GitHub radnih procesa.

Eksfiltracija

• Crv kreira novi GitHub repozitorij pod nazivom Shai Hulud i piše dvostruko base64 kodirano data.json s detaljima platforme, podacima o okruženju i tajnama. Kao što se može vidjeti, ovo bučno ponašanje je lako uočiti ako branitelji znaju gdje tražiti.
• Također postavlja tok rada GitHub Actions, često na granu pod nazivom šaj-hulud, koji se serijalizira ${{ toJSON(secrets) }} i objavljuje podatke na statički webhook. Nadalje, ovaj tijek rada traje sve dok ga neko aktivno ne ukloni.

Širenje

• Sa svakim otkrivenim npm tokenom, korisni teret nabraja sve pakete u vlasništvu kompromitovanog održavatelja. Zatim, dohvaća svaki tarball, ubrizgava bundle.js i postinstall unos, te ponovo objavljuje paket.
• Kao rezultat toga, desetine zaraženih paketa mogu se pojaviti u roku od nekoliko sati, umnožavajući radijus eksplozije u ekosistemu.

Upornost i izloženost

• Crv održava zlonamjerne radne procese i, u nekoliko slučajeva, pretvara privatne repozitorije u javne pomoću... "-migracija" sufiks. Sve u svemu, ovo osigurava da napadač zadrži uporište i maksimizira curenje podataka.

Napomena o otkrivanju ključa
Ova neobična upotreba ${{ toJSON(secrets) }} u radnim tokovima Akcije je rijetkost. Zbog toga, Timovi bi to trebali tretirati kao indikator visokog signala tokom lova.

Sanitizirani obrazac radnog procesa koji biste trebali tražiti

Ova neobična upotreba to JSON(tajne) u Akcijama je indikator visokog signala u ovom incidentu.

Pseudokod za propagaciju visokog nivoa (siguran, deskriptivan)