Shai-Hulud: Esboniad o'r Mwydyn Pecynnau npm

Effaith Weithredol Ymosodiad Cadwyn Gyflenwi Shai-Hulud

Mae Shai-Hulud yn dal yn weithredol heddiw. Mae'r mwydyn hwn yn cyflymu amserlen yr effaith. Mae'r hyn a gymerodd wythnosau gyda Trojan ar un adeg bellach yn datblygu mewn oriau. O ganlyniad, mae'r lledaeniad yn gyflymach ac yn anoddach i'w gynnwys. Mae'n symud ymlaen trwy:

• Dwyn tocynnau cyhoeddi npm a chyfrinachau GitHub.
• Ailgyhoeddi ei hun mewn pecynnau npm eraill.
• Ychwanegu llifau gwaith GitHub Actions maleisus ar gyfer dyfalbarhad.

Pwy sy'n cael ei effeithio:

Mae unrhyw dîm sy'n gosod pecynnau npm cyhoeddus yn agored i niwed. Ar ben hynny, mae datblygwyr sydd â thocynnau npm neu GitHub wedi'u storio yn y storfa yn wynebu risg uchel. Mae rhedwyr CI sy'n defnyddio cyfrinachau eang eu cwmpas hefyd yn agored i niwed.

Risg busnes

Mae'r effaith ar fusnes yn tyfu'n gyflym. Gall tocynnau wedi'u dwyn arwain at gymryd drosodd cyfrifon, herwgipio pecynnau, a hyd yn oed camddefnyddio'r cwmwl. Yn ogystal, mae dyfalbarhad mewn llifau gwaith GitHub yn ei gwneud hi'n anoddach eu glanhau. Felly, rhaid i dimau drin Shai-Hulud fel digwyddiad parhaus, nid un caeedig.

Sut mae Ymosodiad Cadwyn Gyflenwi Shai-Hulud yn Gweithio mewn Pecynnau npm

Amcanion a chymhelliad yr ymosodwr

Mae'r ymgyrch yn optimeiddio ar gyfer tri pheth:

• Y nod cyntaf yw dwyn cymwysterau ar raddfa fawr o liniaduron datblygwyr a rhedwyr CI. Mae hyn yn cynnwys tocynnau cyhoeddi npm, tocynnau GitHub, a chymwysterau cwmwl. Mewn gwirionedd, mae dadansoddiadau lluosog yn cadarnhau cynaeafu cyfrinachau systematig, fel rhedeg TruffleHog ac ymholi pwyntiau terfyn metadata cwmwl.
• Yr ail amcan yw lledaenu'n awtomatig drwy gamddefnyddio hawliau cyhoeddi cynhalwyr sydd wedi'u peryglu. O ganlyniad, mae un troedle yn ehangu'n gyflym i lawer, gan fod fersiynau heintiedig newydd o becynnau eraill yn ymddangos heb ymdrech ddynol ychwanegol.
• Y trydydd amcan yw parhau ac allfudo'n ddibynadwy drwy seilwaith GitHub. Mae ymosodwyr yn creu storfa gyhoeddus o'r enw “Shai-Hulud” gyda sylfaen ddwbl64 data.json, ac yn ogystal maen nhw'n plannu llif gwaith sy'n cyfresoli ${{ iJSON(cyfrinachau) }} ac yn ei bostio i webhook statig.

Mae'r budd tebygol yn cynnwys mynediad hirhoedlog i gofrestrfeydd a chod ffynhonnell, symudiad ochrol cyflym i gyfrifon cwmwl, a'r opsiwn i arfogi'r gadwyn gyflenwi ymhellach. Mae adroddiadau cyhoeddus yn dangos bod repos preifat wedi'u troi'n gyhoeddus gyda "-mudo" ôl-ddodiad, sy'n cynyddu amlygiad data a momentwm

Y Tu Mewn i Lwyth Talu Shai-Hulud: bwndel.js mewn Pecynnau npm

Mae Shai-Hulud yn llongau fel mawr, wedi'i fwndelu gan Webpack ac wedi'i leihau'n drwm Ffeil JavaScript (bwndel.js, tua 3–3.7 MB) sy'n gweithredu o a ôl-osod bachyn i mewn pecyn.jsonO ganlyniad, Mae pob gosodiad yn sbarduno'r llwyth tâl yn awtomatig. Mae'r dyluniad hwn yn cuddio dynodwyr, yn cywasgu llif rheoli, ac yn gwthio'r holl resymeg i mewn i un arteffact sy'n gweithredu yn ystod y gosodiad. Mae dadansoddwyr yn gyson yn cadarnhau bwndelu Webpack, maint ffeil anarferol, a gweithredu amser gosod.

Nodweddion drysu a gwrth-ddadansoddi a welwch mewn samplau:

• Graff modiwl wedi'i leihau gyda rhifau adnabod modiwl rhifol, sylwadau prin, a llif rheoli gwastad. Ar ben hynny., Mae'r strwythur hwn yn gwneud adolygu â llaw yn anodd iawn.
• Cuddio llinynnau trwy haenau base64 a chynorthwywyr adeiladu. Er enghraifft, Mae amgodio a datgodio base64 ailadroddus fel arfer yn ymddangos o amgylch rwtinau allhidlo.
• Dosbarthu deinamig drwy gwerthusopatrymau -arddull a chyrff swyddogaeth a gynhyrchwyd, gan alluogi cod i newid ymddygiad yn ystod amser rhedeg.
• Hidlo system weithredu i ffafrio gweithrediad Linux a macOS yn enwedig ar rhedwyr CI a gliniaduron datblygwyr.

O ongl swyddogaethol, mae'r bwndel yn fodiwlaidd. Mae ysgrifau'n disgrifio modiwlau ar gyfer darganfod system weithredu, sganiau system ffeiliau a chyfrinachau git, mynediad SDK cwmwl, gweithrediadau API GitHub, ac injan lledaenu sy'n golygu pecynnau eraill sy'n eiddo i'r cynhaliwr. Mewn gwirionedd, mae StepSecurity a ReversingLabs ill dau yn tynnu sylw at swyddogaeth sy'n diweddaru pecynnau gyda'r bachyn maleisus yn awtomatig.

Gweithredu Amser Gosod yn Shai-Hulud: Sut Mae Pecynnau npm yn Sbarduno'r Mwydyn

Mae'r ymosodiad yn dechrau pan mae'r nod ôl-osod yn rhedeg bwndel.js. Ar y pwynt hwn, mae'r sgript yn cychwyn ac yn dadbacio'r cyflwr gweithio yn y cof, gan osod y llwyfan ar gyfer gweithrediad llawn y mwydyn.

Darganfod a chynaeafu

• Mae'r llwyth tâl yn dympio process.env ac yn sganio ffeiliau lleol am gyfrinachau entropi uchel a rhagddodiaid tocynnau. Yn ogystal, mae'n ymestyn y cwmpas trwy redeg TruffleHog.
• Mae'n holi pwyntiau terfyn metadata cwmwl i gasglu manylion mewngofnodi byrhoedlog. Er enghraifft, galwadau i 169.254.169.254 ar AWS neu metadata.google.internal ar GCP yn aml yn ymddangos mewn gwesteiwyr heintiedig.
• O ganlyniad, mae unrhyw gymhwyster a geir yn dod yn ddefnyddiadwy ar unwaith i gyhoeddi pecynnau npm newydd neu wthio llif gwaith GitHub.

Allfudo

• Mae'r mwydyn yn creu storfa GitHub newydd o'r enw Shai Hulud ac yn ysgrifennu wedi'i amgodio â base64 dwbl data.json gyda manylion platfform, dympiau amgylchedd, a chyfrinachau. Fel y gwelir, mae'r ymddygiad swnllyd hwn yn hawdd i'w weld os yw amddiffynwyr yn gwybod ble i edrych.
• Mae hefyd yn plannu llif gwaith GitHub Actions, yn aml ar gangen o'r enw shai-hulud, sy'n cyfresoli ${{ toJSON(secrets) }} ac yn postio'r data i webhook statig. Ar ben hynny, mae'r llif gwaith hwn yn parhau nes bod rhywun yn ei ddileu'n weithredol.

Propagation

• Gyda unrhyw docyn npm a ddarganfyddir, mae'r llwyth tâl yn rhestru'r holl becynnau sy'n eiddo i'r cynhaliwr sydd wedi'i gyfaddawdu. Yna, mae'n nôl pob tarball, yn chwistrellu bundle.js a chofnod postinstall, ac yn ailgyhoeddi'r pecyn.
• O ganlyniad, gall dwsinau o becynnau heintiedig ymddangos o fewn ychydig oriau, gan luosi radiws y ffrwydrad ar draws yr ecosystem.

Parhad ac amlygiad

• Mae'r mwydyn yn cadw llifau gwaith maleisus yn fyw ac, mewn sawl achos, yn troi storfeydd preifat yn gyhoeddus gyda "-mudo" ôl-ddodiad. At ei gilydd, mae hyn yn sicrhau bod yr ymosodwr yn cynnal troedle ac yn cynyddu gollyngiadau data i'r eithaf.

Nodyn canfod allweddol
Y defnydd anarferol hwn o ${{ toJSON(secrets) }} Mae llifau gwaith mewn Camau Gweithredu yn brin. Felly, dylai timau ei drin fel dangosydd signal uchel yn ystod hela.

Patrwm llif gwaith wedi'i lanhau y dylech chi chwilio amdano

Y defnydd anarferol hwn o i JSON (cyfrinachau) Mae mewn Camau Gweithredu yn ddangosydd signal uchel yn y digwyddiad hwn.

Ffug-god lluosogi lefel uchel (diogel, disgrifiadol)