Shai-Hulud: Vysvětlení červa npm Packages

Dopad útoku Shai-Huluda na dodavatelský řetězec ve vedení společnosti

Shai-Hulud je aktivní dodnes. Tento červ zrychluje časový harmonogram dopadu. Co dříve u trojského koně trvalo týdny, se nyní odehrává během hodin. V důsledku toho... Šíření je rychlejší a hůře se zastavuje. Postupuje se o:

• Krádež tokenů pro publikování v NPM a tajných kódů GitHubu.
• Znovu se publikuje do jiných npm balíčků.
• Přidávání škodlivých pracovních postupů akcí GitHubu pro zajištění perzistence.

Koho se to týká:

Každý tým, který instaluje veřejné npm balíčky, je vystaven riziku. Vývojáři s npm tokeny nebo tokeny GitHub uloženými v mezipaměti čelí vysokému riziku. Zranitelní jsou také CI runneri, kteří používají široce definované tajné kódy.

Obchodní riziko

Dopad na podnikání rychle roste. Ukradené tokeny mohou vést k převzetí kontroly nad účty, únosu balíčků a dokonce i zneužití cloudu. Navíc perzistence v pracovních postupech GitHubu ztěžuje jejich vyčištění. ProtoTýmy musí Shai-Hulud považovat za probíhající incident, nikoli za uzavřený.

Jak funguje útok Shai-Hulud Supply Chain v npm balíčcích

Cíle a motiv útočníka

Kampaň je optimalizována pro tři věci:

• Prvním cílem je kradení přihlašovacích údajů ve velkém měřítku z vývojářských notebooků a běžců CI. To zahrnuje tokeny npm publish, tokeny GitHubu a cloudové přihlašovací údaje. Více analýz dokonce potvrzuje systematické sběry tajných dat, jako je spouštění TruffleHog a dotazování koncových bodů cloudových metadat.
• Druhým cílem je automaticky se šíří zneužíváním publikačních práv kompromitovaných správců. V důsledku toho se jedna opora rychle rozrůstá do mnoha, protože nové infikované verze jiných balíčků se objevují bez dalšího lidského úsilí.
• Třetím cílem je přetrvávají a spolehlivě se vylučují prostřednictvím infrastruktury GitHub. Útočníci vytvoří veřejné repozitář s názvem „Shai-Hulud“ s dvojitou bází64 data.jsona navíc zavádějí pracovní postup, který serializuje ${{ toJSON(tajemství) }} a odešle ho na statický webhook.

Pravděpodobným přínosem bude dlouhodobý přístup k registrům a zdrojovému kódu, rychlý laterální přesun do cloudových účtů a možnost dalšího vyzbrojení dodavatelského řetězce. Veřejné zprávy ukazují, že soukromá repozitáře byla převedena na veřejná s… „-migrace“ přípona, která zvyšuje expozici datům a dynamiku

Uvnitř nákladu Shai-Hulud: bundle.js v balíčcích npm

Šaj-Hulud se dodává jako velký, svázaný s Webpackem a silně minifikovaný Soubor JavaScriptu (bundle.js, přibližně 3–3.7 MB) který se spouští z po instalaci zavěsit balíček.jsonV důsledku toho, Každá instalace automaticky spouští datovou část. Tento design skrývá identifikátory, komprimuje tok řízení a vkládá veškerou logiku do jednoho artefaktu, který se spouští během instalace. Analytici opakovaně potvrzují sdružování Webpacků, neobvyklou velikost souborů a spouštění během instalace.

Rysy zatemňování a antianalýzy, které uvidíte ve vzorcích:

• Minifikovaný graf modulů s číselnými ID modulů, řídkými komentáři a zploštělým tokem řízení. Navíc, Tato struktura extrémně ztěžuje manuální kontrolu.
• Skrývání řetězců prostřednictvím vrstev base64 a konstrukčních pomocníků. Například, Opakované kódování a dekódování base64 se obvykle objevuje kolem rutin exfiltrace.
• Dynamické odeslání přes eval-stylové vzory a generovaná těla funkcí, což umožňuje kódu měnit chování za běhu.
• Filtrování operačních systémů preferovat spouštění v Linuxu a macOS, zejména na běžcích CI a vývojářských noteboocích.

Z funkčního hlediska je balíček modulární. Článek popisuje moduly pro zjišťování operačních systémů, skenování souborových systémů a tajných dat Git, přístup k cloudovým SDK, operace s GitHub API a propagační engine, který upravuje další balíčky, které správce vlastní. StepSecurity a ReversingLabs dokonce zdůrazňují funkci, která automaticky aktualizuje balíčky se škodlivým hookem.

Spuštění během instalace v Shai-Huludu: Jak npm balíčky spouštějí červa

Útok začíná, když po instalaci běží uzel bundle.js. V tomto okamžiku se skript inicializuje a rozbalí v paměti v pracovním stavu, čímž připraví půdu pro plnohodnotný provoz červa.

Objev a sklizeň

• Datová část vypíše soubor process.env a prohledá lokální soubory, aby našla tajné kódy s vysokou entropií a prefixy tokenů. Kromě toho rozšiřuje pokrytí spuštěním TruffleHog.
• Dotazuje koncové body cloudových metadat za účelem shromažďování krátkodobých přihlašovacích údajů. Například, volá do 169.254.169.254 na AWS nebo metadata.google.internal na GCP se často objevují u infikovaných hostitelů.
• V důsledku toho, Jakékoli nalezené přihlašovací údaje jsou okamžitě použitelné pro publikování nových balíčků NPM nebo pro nahrání pracovních postupů na GitHub.

Exfiltrace

• Červ vytvoří nové repozitář GitHubu s názvem Shai Hulud a zapíše kód s dvojitým base64 kódováním data.json s podrobnostmi o platformě, výpisy prostředí a tajnými kódy. Jak je vidět, toto hlučné chování lze snadno odhalit, pokud obránci vědí, kde hledat.
• Také zavádí pracovní postup akcí GitHubu, často na větvi s názvem šaj-hulud, který serializuje ${{ toJSON(secrets) }} a odešle data do statického webhooku. Tento pracovní postup navíc přetrvává, dokud jej někdo aktivně neodstraní.

Propagace

• S jakýmkoli objeveným npm tokenem datová část vyjmenová všechny balíčky vlastněné napadeným správcem. Poté načte každý tarball, vloží bundle.js a položku po instalaci a znovu publikuje balíček.
• V důsledku toho se během několika hodin mohou objevit desítky infikovaných balíčků, což znásobí poloměr šíření v celém ekosystému.

Perzistence a expozice

• Červ udržuje škodlivé pracovní postupy při životě a v několika případech převádí soukromá repozitáře na veřejná pomocí... „-migrace“ přípona. Celkově to zajišťuje, že si útočník udrží oporu a maximalizuje únik dat.

Poznámka k detekci klíče
Toto neobvyklé použití ${{ toJSON(secrets) }} v pracovních postupech Akcí je vzácné. Proto, Týmy by to měly během lovu považovat za indikátor vysokého signálu.

Sanitizovaný vzorec pracovního postupu, který byste měli hledat

Toto neobvyklé použití na JSON (tajné klíče) v Akcích je v tomto incidentu indikátorem vysokého signálu.

Pseudokód šíření na vysoké úrovni (bezpečný, popisný)