Shai-Hulud: Forklaring af npm-pakkeormen

Konsekvenserne for Shai-Hulud-forsyningskædeangrebet på den administrerende direktør

Shai-Hulud er stadig aktiv i dag. Denne orm fremskynder nedslagstidslinjen. Det, der engang tog uger med en trojaner, udfolder sig nu på timer. Som et resultat, spredningen er hurtigere og sværere at inddæmme. Det går frem ved at:

• Stjæler npm-publiceringstokens og GitHub-hemmeligheder.
• Genudgiver sig selv i andre npm-pakker.
• Tilføjelse af ondsindede GitHub Actions-arbejdsgange for at sikre vedholdenhed.

Hvem er berørt:

Ethvert team, der installerer offentlige npm-pakker, er eksponeret. Derudover står udviklere med cachelagrede npm- eller GitHub-tokens over for en høj risiko. CI-løbere, der bruger bredspektrede hemmeligheder, er også sårbare.

Forretningsrisiko

Forretningspåvirkningen vokser hurtigt. Stjålne tokens kan føre til kontoovertagelse, pakkekapring og endda misbrug af cloud-miljøet. Derudover gør vedholdenhed i GitHub-arbejdsgange det sværere at oprydde. Derfor, skal holdene behandle Shai-Hulud som en igangværende hændelse, ikke en lukket en.

Sådan fungerer Shai-Hulud Supply Chain-angrebet i npm-pakker

Angriberens mål og motiv

Kampagnen optimerer til tre ting:

• Det første mål er at stjæle legitimationsoplysninger i stor skala fra udviklerbærbare computere og CI-løbere. Dette inkluderer npm-publikationstokens, GitHub-tokens og cloud-legitimationsoplysninger. Faktisk bekræfter flere analyser systematisk indsamling af hemmelige data, såsom at køre TruffleHog og forespørge på cloud-metadata-slutpunkter.
• Det andet mål er at udbrede sig automatisk ved at misbruge udgivelsesrettighederne for kompromitterede vedligeholdere. Som et resultat spreder ét fodfæste sig hurtigt til mange, da nye inficerede versioner af andre pakker dukker op uden yderligere menneskelig indsats.
• Det tredje mål er at vedvarer og udfiltreres pålideligt gennem GitHub-infrastrukturen. Angribere opretter et offentligt arkiv med navnet "Shai-Hulud" med en dobbelt base64 data.json, og derudover planter de en arbejdsgang, der serialiserer ${{ toJSON(hemmeligheder) }} og sender det til en statisk webhook.

Den sandsynlige gevinst inkluderer langvarig adgang til registre og kildekode, hurtig lateral bevægelse til cloud-konti og muligheden for at bevæbne forsyningskæden yderligere. Offentlig rapportering viser, at private repositorier er blevet offentliggjort med en "-migration" suffiks, hvilket øger dataeksponering og momentum

Inde i Shai-Hulud-nyttelasten: bundle.js i npm-pakker

Shai-Hulud sejler som en stor, Webpack-bundtet og kraftigt minimeret JavaScript-fil (bundle.js, cirka 3-3.7 MB) der udføres fra en efterinstallation hægte sig fast pakke.jsonFølgelig, Hver installation udløser automatisk nyttelasten. Dette design skjuler identifikatorer, komprimerer kontrolflowet og samler al logik i en enkelt artefakt, der udføres under installationen. Analytikere bekræfter konsekvent Webpack-bundling, usædvanlig filstørrelse og udførelse på installationstidspunktet.

Træk i forbindelse med obfuskation og antianalyse, som du vil se i prøver:

• Minimificeret modulgraf med numeriske modul-ID'er, sparsomme kommentarer og fladtrykt kontrolflow. Desuden, Denne struktur gør manuel gennemgang ekstremt vanskelig.
• Streng skjuling via base64-lag og konstruktionshjælpere. For eksempel, Gentagen base64-kodning og -afkodning forekommer normalt omkring eksfiltreringsrutiner.
• Dynamisk forsendelse ved eval-style-mønstre og genererede funktionslegemer, hvilket gør det muligt for kode at ændre adfærd under kørsel.
• OS-filtrering at foretrække Linux- og macOS-udførelse, især på CI-brugere og bærbare computere til udviklere.

Fra et funktionelt perspektiv er pakken modulær. Opsummeringer beskriver moduler til OS-opdagelse, scanninger af filsystemer og git-hemmeligheder, adgang til cloud-SDK'er, GitHub API-operationer og en propageringsmotor, der redigerer andre pakker, som vedligeholderen ejer. Faktisk fremhæver både StepSecurity og ReversingLabs en funktion, der automatisk opdaterer pakker med den ondsindede hook.

Udførelse på installationstid i Shai-Hulud: Hvordan npm-pakker udløser ormen

Angrebet begynder, når postinstall kører node bundle.js. På dette tidspunkt initialiserer og udpakker scriptet arbejdstilstanden i hukommelsen, hvilket sætter scenen for ormens fulde drift.

Opdagelse og høst

• Nyttelasten dumper process.env og scanner lokale filer for hemmeligheder med høj entropi og tokenpræfikser. Derudover udvider den dækningen ved at køre TruffleHog.
• Den forespørger cloud-metadata-slutpunkter for at indsamle kortlivede legitimationsoplysninger. For eksempel, opfordrer til 169.254.169.254 på AWS eller metadata.google.internal på GCP forekommer ofte hos inficerede værter.
• Følgelig Enhver funden legitimationsoplysninger bliver øjeblikkeligt brugbar til at udgive nye npm-pakker eller pushe GitHub-arbejdsgange.

Eksfiltrering

• Ormen opretter et nyt GitHub-lager med navnet Shai Hulud og skriver en dobbelt base64-kodet data.json med platformdetaljer, miljødumps og hemmeligheder. Som det kan ses, er denne støjende adfærd let at få øje på, hvis forsvarere ved, hvor de skal lede.
• Den planter også en GitHub Actions-workflow, ofte på en gren med navnet Shai Hulud, der serialiserer ${{ toJSON(secrets) }} og sender dataene til en statisk webhook. Derudover fortsætter denne arbejdsgang, indtil nogen aktivt fjerner den.

Formering

• Med ethvert opdaget npm-token opregner nyttelasten alle pakker, der ejes af den kompromitterede vedligeholder. Derefter henter den hver tarball, injicerer bundle.js og en postinstall-post og genudgiver pakken.
• Som følge heraf kan snesevis af inficerede pakker dukke op i løbet af få timer, hvilket mangedobler eksplosionsradiusen på tværs af økosystemet.

Persistens og eksponering

• Ormen holder ondsindede arbejdsgange i live og omdanner i flere tilfælde private arkiver til offentlige med en "-migration" suffiks. Alt i alt sikrer dette, at angriberen bevarer fodfæste og maksimerer datalækage.

Bemærkning om nøgledetektion
Denne usædvanlige brug af ${{ toJSON(secrets) }} i Handlinger er arbejdsgange sjældne. Derfor, Hold bør behandle det som en højsignalindikator under jagter.

Rensede arbejdsgangsmønstre, du bør lede efter

Denne usædvanlige brug af til JSON (hemmeligheder) i Handlinger er en højt indikatorsignal i denne hændelse.

Pseudokode for udbredelse på højt niveau (sikker, beskrivende)