Shai-Hulud: Spiegazione di u verme di i pacchetti npm

Impattu esecutivu di l'attaccu à a catena di furnimentu Shai-Hulud

Shai-Hulud hè sempre attivu oghje. Stu verme accelera a cronologia di l'impattu. Ciò chì una volta pigliava settimane cù un trojan si svolge avà in ore. Di cunsiguenza, A diffusione hè più rapida è più difficiule da cuntene. Avanza per via di:

• Arrubà gettoni di pubblicazione npm è secreti GitHub.
• Ripubblicendu si stessu in altri pacchetti npm.
• Aghjunghjendu flussi di travagliu GitHub Actions maliziosi per a persistenza.

Quale hè affettatu:

Ogni squadra chì installa pacchetti npm publichi hè esposta. Inoltre, i sviluppatori cù npm in cache o token GitHub affrontanu un risicu elevatu. I corridori CI chì utilizanu secreti à scopu largu sò ancu vulnerabili.

Rischiu cummerciale

L'impattu cummerciale cresce rapidamente. I gettoni arrubati ponu purtà à l'acquistu di conti, à u dirottamentu di pacchetti è ancu à l'usu impropriu di u cloud. Inoltre, a persistenza in i flussi di travagliu GitHub rende più difficiule a pulizia. Dunque, e squadre devenu trattà Shai-Hulud cum'è un incidente in corsu, micca cum'è un incidente chjusu.

Cumu funziona l'attaccu di a catena di furnimentu Shai-Hulud in i pacchetti npm

Obiettivi è mutivi di l'attaccante

A campagna hè ottimizzata per trè cose:

• U primu scopu hè di arrubà credenziali à grande scala da i laptop di sviluppatori è i corridori CI. Questu include i gettoni di pubblicazione npm, i gettoni GitHub è e credenziali cloud. In fatti, parechje analisi cunfermanu a raccolta sistematica di secreti, cum'è l'esecuzione di TruffleHog è l'interrogazione di endpoint di metadati cloud.
• U secondu scopu hè di propagate automaticamente abusendu di i diritti di publicazione di i mantenitori compromessi. Di cunsiguenza, un puntu d'appoghju si espande rapidamente in parechji, postu chì e nuove versioni infettate di altri pacchetti appariscenu senza sforzu umanu supplementu.
• U terzu scopu hè di persiste è esfiltra in modu affidabile attraversu l'infrastruttura GitHub. L'attaccanti creanu un repositoriu publicu chjamatu "Shai-Hulud" cù una doppia base64 dati.json, è in più piantanu un flussu di travagliu chì serializza ${{ toJSON(sicreti) }} è u publica in un webhook staticu.

U prubabile risultatu include l'accessu à longu andà à i registri è à u codice surghjente, un muvimentu laterale rapidu in i conti cloud, è l'opzione di trasfurmà ulteriormente a catena di furnimentu in arma. I rapporti publichi mostranu chì i repository privati ​​sò stati rivultati in publicu cù un "-migrazione" suffissu, chì aumenta l'esposizione di i dati è u momentum

Dentru à a carica utile di Shai-Hulud: bundle.js in i pacchetti npm

Shai-Hulud si spedisce cum'è una grande, raggruppatu in Webpack è assai minificatu u schedariu JavaScript (bundle.js, circa 3–3.7 MB) chì s'esegue da un postinstallazione aggancia package.jsonDi cunsiguenza, Ogni installazione attiva automaticamente u payload. Stu cuncepimentu piatta l'identificatori, comprime u flussu di cuntrollu è spinge tutta a logica in un unicu artefattu chì s'eseguisce durante l'installazione. L'analisti cunfermanu constantemente u raggruppamentu di Webpack, a dimensione inusual di i fugliali è l'esecuzione in tempu d'installazione.

Tratti di offuscazione è anti-analisi chì viderete in i campioni:

• Graficu di moduli minificatu cù ID di moduli numerichi, cummenti sparsi è flussu di cuntrollu appiattitu. Inoltre, Sta struttura rende a revisione manuale estremamente difficiule.
• Ammuccià e corde via strati base64 è assistenti di custruzzione. Per esempiu, A codificazione è a decodificazione base64 ripetuta appariscenu di solitu intornu à e rutine di esfiltrazione.
• Spedizione dinamica attraversu eval-mudelli di stile è corpi di funzione generati, chì permettenu dunque à u codice di cambià u cumpurtamentu in tempu reale.
• Filtrazione di u sistema operativu preferisce l'esecuzione di Linux è macOS in particulare nantu à i corridori CI è i laptop di sviluppatori.

Da un puntu di vista funziunale, u fasciu hè mudulare. I scritti descrivenu i moduli per a scuperta di u sistema operativu, scansioni di u sistema di fugliali è di i sicreti git, accessu à u SDK in u cloud, operazioni API GitHub è un mutore di propagazione chì mudifica altri pacchetti pusseduti da u mantenitore. In fatti, StepSecurity è ReversingLabs mettenu in risaltu una funzione chì aghjurnà automaticamente i pacchetti cù u hook maliziosu.

Esecuzione in tempu d'installazione in Shai-Hulud: Cumu i pacchetti npm attivanu u verme

L'attaccu principia quandu esegue u nodu di postinstallazione bundle.js. À questu puntu, u script inizializeghja è decomprime u statu di funziunamentu in memoria, preparendu a scena per u funziunamentu cumpletu di u verme.

Scuperta è racolta

• U payload scarica process.env è scansiona i fugliali lucali per i sicreti à alta entropia è i prefissi di token. Inoltre, estende a copertura eseguendu TruffleHog.
• Interroga i endpoint di metadati di u cloud per raccoglie credenziali di corta durata. Per esempiu, chjama à 169.254.169.254 nantu à AWS o metadata.google.internal nantu à GCP appariscenu spessu in ospiti infettati.
• Di conseguenza, Ogni credenziale truvata diventa immediatamente utilizabile per publicà novi pacchetti npm o spinghje flussi di travagliu GitHub.

Esfiltrazione

• U verme crea un novu repositoriu GitHub chjamatu Shai Hulud è scrive una doppia codificazione base64 data.json cù dettagli di piattaforma, dumps di l'ambiente è sicreti. Cum'è si pò vede, stu cumpurtamentu rumurosu hè faciule da individuà se i difensori sanu induve circà.
• Pianta ancu un flussu di travagliu GitHub Actions, spessu nantu à una branca chjamata shai-hulud, chì serializza ${{ toJSON(secrets) }} è publica i dati in un webhook staticu. Inoltre, stu flussu di travagliu persiste finchè qualchissia ùn u rimuove attivamente.

Propagazione

• Cù ogni token npm scupertu, u payload enumera tutti i pacchetti pusseduti da u mantenitore cumprumessu. Dopu, recupera ogni tarball, inietta bundle.js è una entrata postinstall, è ripubblica u pacchettu.
• Cusì, decine di pacchetti infettati ponu cumparisce in poche ore, multiplicendu u raghju di l'esplosione in tuttu l'ecosistema.

Persistenza è esposizione

• U verme mantene vivi i flussi di travagliu maliziosi è, in parechji casi, trasforma i repositori privati ​​in publici cù un "-migrazione" suffissu. In tuttu, questu assicura chì l'attaccante mantene un puntu d'appoghju è massimizza a fuga di dati.

Nota di rilevazione chjave
Questu usu inusual di ${{ toJSON(secrets) }} I flussi di travagliu in Actions sò rari. Cusì, E squadre devenu trattallu cum'è un indicatore di signale altu durante a caccia.

Schema di flussu di travagliu sanitizatu chì duvete circà

Questu usu inusual di à JSON (sicreti) in Actions hè un indicatore di signale altu in questu incidente.

Pseudo-codice di propagazione di altu livellu (sicuru, descrittivu)