Shai-Hulud: Explicació del cuc de paquets npm

Impacte executiu de l'atac a la cadena de subministrament de Shai-Hulud

Shai-Hulud encara està actiu avui dia. Aquest cuc accelera la cronologia de l'impacte. El que abans trigava setmanes amb un troià ara es desenvolupa en hores. Com a resultat, la propagació és més ràpida i més difícil de contenir. Avança per:

• Robar tokens de publicació de npm i secrets de GitHub.
• Republicant-se en altres paquets npm.
• Afegint fluxos de treball d'accions de GitHub maliciosos per a la persistència.

Qui està afectat:

Qualsevol equip que instal·li paquets npm públics queda exposat. A més, els desenvolupadors amb tokens npm o GitHub emmagatzemats a la memòria cau s'enfronten a un alt risc. Els executors de CI que utilitzen secrets d'abast ampli també són vulnerables.

Risc empresarial

L'impacte empresarial creix ràpidament. Els tokens robats poden provocar la presa de control de comptes, el segrest de paquets i fins i tot l'ús indegut del núvol. A més, la persistència en els fluxos de treball de GitHub fa que sigui més difícil de netejar. Per tant,, els equips han de tractar Shai-Hulud com un incident continu, no tancat.

Com funciona l'atac a la cadena de subministrament de Shai-Hulud en paquets npm

Objectius i motius de l'atacant

La campanya s'optimitza per tres coses:

• El primer objectiu és robar credencials a escala des d'ordinadors portàtils de desenvolupadors i executors de CI. Això inclou tokens de publicació npm, tokens de GitHub i credencials al núvol. De fet, múltiples anàlisis confirmen la recol·lecció sistemàtica de secrets, com ara l'execució de TruffleHog i la consulta de punts finals de metadades al núvol.
• El segon objectiu és propagar automàticament abús dels drets de publicació dels mantenidors compromesos. Com a resultat, un punt de suport s'expandeix ràpidament a molts, ja que apareixen noves versions infectades d'altres paquets sense esforç humà addicional.
• El tercer objectiu és persisteixen i s'exfiltren de manera fiable a través de la infraestructura de GitHub. Els atacants creen un repositori públic anomenat "Shai-Hulud" amb una doble base64 dades.json, i a més a més, planten un flux de treball que serialitza ${{ toJSON(secrets) }} i ho publica a un webhook estàtic.

La probable recompensa inclou accés a llarg termini als registres i al codi font, un moviment lateral ràpid cap a comptes al núvol i l'opció de convertir encara més la cadena de subministrament en una arma. Els informes públics mostren que els repositoris privats es van fer públics amb un «-migració» sufix, que augmenta l'exposició i l'impuls de les dades

Dins de la càrrega útil de Shai-Hulud: paquet.js en paquets npm

Shai-Hulud s'envia com a gran, inclòs en Webpack i molt minificat Fitxer JavaScript (paquet.js, uns 3–3.7 MB) que s'executa des d'un postinstal·lació enganxar paquet.jsonEn conseqüència, Cada instal·lació activa la càrrega útil automàticament. Aquest disseny amaga els identificadors, comprimeix el flux de control i empeny tota la lògica en un únic artefacte que s'executa durant la instal·lació. Els analistes confirmen constantment l'agrupació de Webpack, la mida de fitxer inusual i l'execució en temps d'instal·lació.

Trets d'ofuscació i antianàlisi que veureu a les mostres:

• Gràfic de mòduls minificat amb ID de mòdul numèrics, comentaris dispersos i flux de control aplanat. A més, Aquesta estructura fa que la revisió manual sigui extremadament difícil.
• Amagar cadenes mitjançant capes base64 i ajudants de construcció. Per exemple, La codificació i descodificació base64 repetides solen aparèixer al voltant de les rutines d'exfiltració.
• Enviament dinàmic a través de evalpatrons d'estil i cossos de funció generats, permetent així que el codi canviï de comportament en temps d'execució.
• Filtratge del sistema operatiu preferir l'execució de Linux i macOS, especialment en executors de CI i ordinadors portàtils de desenvolupador.

Des d'un punt de vista funcional, el paquet és modular. Els articles descriuen mòduls per al descobriment de sistemes operatius, escanejos de sistemes de fitxers i secrets de Git, accés a l'SDK al núvol, operacions de l'API de GitHub i un motor de propagació que edita altres paquets que posseeix el mantenidor. De fet, StepSecurity i ReversingLabs destaquen una funció que actualitza automàticament els paquets amb el hook maliciós.

Execució en temps d'instal·lació a Shai-Hulud: com els paquets npm activen el cuc

L'atac comença quan node d'execucions postinstal·lació paquet.js. En aquest punt, l'script inicialitza i desempaqueta l'estat de treball a la memòria, preparant l'escenari per al funcionament complet del cuc.

Descobriment i recol·lecció

• La càrrega útil descarrega process.env i escaneja els fitxers locals per buscar secrets d'alta entropia i prefixos de tokens. A més, estén la cobertura executant TruffleHog.
• Consulta els punts finals de metadades del núvol per recopilar credencials de curta durada. Per exemple, trucades a 169.254.169.254 a AWS o metadata.google.internal en GCP sovint apareixen en hostes infectats.
• Per tant, Qualsevol credencial trobada es pot utilitzar immediatament per publicar nous paquets npm o enviar fluxos de treball de GitHub.

Exfiltració

• El cuc crea un nou repositori de GitHub anomenat Shai-Hulud i escriu una doble codificació en base64 data.json amb detalls de la plataforma, abocaments d'entorn i secrets. Com es pot veure, aquest comportament sorollós és fàcil de detectar si els defensors saben on mirar.
• També planta un flux de treball d'accions de GitHub, sovint en una branca anomenada shai-hulud, que serialitza ${{ toJSON(secrets) }} i publica les dades a un webhook estàtic. A més, aquest flux de treball persisteix fins que algú l'elimina activament.

Propagació

• Amb qualsevol token npm descobert, la càrrega útil enumera tots els paquets que pertanyen al mantenidor compromès. A continuació, obté cada tarball, injecta bundle.js i una entrada postinstal·lació i torna a publicar el paquet.
• Com a resultat, desenes de paquets infectats poden aparèixer en qüestió d'hores, multiplicant el radi de l'explosió a tot l'ecosistema.

Persistència i exposició

• El cuc manté vius els fluxos de treball maliciosos i, en diversos casos, converteix els repositoris privats en públics amb un «-migració» sufix. En conjunt, això garanteix que l'atacant mantingui un punt de suport i maximitzi la fuga de dades.

Nota de detecció clau
Aquest ús inusual de ${{ toJSON(secrets) }} en els fluxos de treball d'Accions és rar. Per tant, els equips ho haurien de tractar com un indicador de senyal alt durant les caceres.

Patró de flux de treball sanejat que hauries de buscar

Aquest ús inusual de a JSON(secrets) en Accions és un indicador de senyal alt en aquest incident.

Pseudocodi de propagació d'alt nivell (segur, descriptiu)