Σύγχυση CryptoDAO: έντεκα πακέτα npm, ένα ωφέλιμο φορτίο, συλλογή CI/CD και μυστικά κρυπτο-πορτοφολιού

 Απόδοση και παρατηρούμενη συμπεριφορά

Όλα όσα αφορούν το σύμπλεγμα υποδεικνύουν το ένα χέρι. Και τα έντεκα πακέτα δημοσιεύθηκαν. από τον λογαριασμό npm aduljune (aduljune@proton.me, μια μη επαληθευμένη διεύθυνση χωρίς συνδεδεμένο αποθετήριο πηγής), μέσα σε διάστημα 25 λεπτών, ταυτόχρονα 99.99.99 εκδοχή, αποστολή ενός recon.js των οποίων τα περιεχόμενα είναι byte προς byte πανομοιότυπα σε κάθε πακέτο (το MD5 ταιριάζει και στα έντεκα εξαγόμενα αντίγραφα). Αυτό είναι ένα ωφέλιμο φορτίο σφραγισμένο σε μια λίστα ονομάτων, όχι σε ανεξάρτητη επαναχρησιμοποίηση κώδικα.

Η λίστα ονομάτων καθορίζει τον επιδιωκόμενο στόχο. κρυπτοδάο-* και cdao περίγραψε το διάταξη ιδιωτικής ενότητας ενός έργου κρυπτογράφησης/DAO και η λίστα συγκομιδής του ωφέλιμου φορτίου καθρέφτες που μαντεύουν: παράλληλα με τα γενικά μυστικά CI και cloud, συγκεκριμένα φτάνει για ΙΔΙΩΤΙΚΟ_ΚΛΕΙΔΙ, ΜΝΗΜΟΝΙΚΟΣ, ΦΡΑΣΗ_ΣΠΟΡΟΥ, και Ethereum/BSC RPC και κλειδιά παρόχου. Το .env οι διαδρομές αναζήτησης και οι καταχωρίσεις καταλόγων είναι GitLab-runner συγκεκριμένο. Το παρατηρήσιμο αποτέλεσμα είναι ότι οποιοδήποτε pipeline ξεγέλασαν για να τα εγκαταστήσουν τα ονόματα θα προωθούσαν τα διακριτικά CI, τα κλειδιά cloud και τα στοιχεία στον δίσκο .env μυστικά — και, για ένα έργο blockchain, το υλικό του πορτοφολιού του — σε δύο τρίτους συλλέκτες.

Δεν φέρουμε καμία αξίωση σχετικά με το ποιος διαχειρίζεται τον λογαριασμό ή τι σχεδίαζαν να κάνουν με αυτόν. δεδομένα. Τα γεγονότα που στέκονται από μόνα τους: τα ονόματα στοχεύουν σε ένα συγκεκριμένο είδος εσωτερική αλυσίδα εργαλείων, το ωφέλιμο φορτίο διαβάζει και μεταδίδει πραγματικές μυστικές τιμές, και το η υποδομή ήταν ενεργή.

Αντίκτυπος, τάσεις και καθοδήγηση αμυντικού

Σύγχυση εξάρτησης παραμένει αποτελεσματικό επειδή εκμεταλλεύεται τη συμπεριφορά του αναλυτή, όχι ένα ευπάθεια σε οποιοδήποτε πακέτο. Ο μεταφορέας εδώ είναι ασήμαντος - έντεκα σχεδόν άδειοι πακέτα — αλλά η ακτίνα έκρηξης είναι όποια pipeline κατά λάθος προτιμά το δημόσιο npm για ένα εσωτερικό όνομα. Οι CI runners είναι το χειρότερο μέρος για να συμβεί αυτό: κατέχουν ακριβώς τα κέρματα και .env αρχεία που διαβάζει αυτό το ωφέλιμο φορτίο και τα εγκαθιστά εξαρτήσεις μη αλληλεπιδραστικά, επομένως ένα μετά την εγκατάσταση τρέχει χωρίς να παρακολουθεί κανείς.

Αυτό το σύμπλεγμα ταιριάζει επίσης σε ένα μοτίβο που βλέπουμε συνεχώς: φορτία κατά τον χρόνο εγκατάστασης που παρουσιάζουν ως «έρευνα» ή «αναγνώριση» ενώ παράλληλα πραγματοποιούνταν πραγματική συλλογή πιστοποιητικών. Η ετικέτα στο αρχείο δεν αλλάζει τι κάνει ο κώδικας σε έναν δρομέα. Δύο επιλογές σχεδίασης διατηρούνται η σιωπηλή δραστηριότητα: κάθε λειτουργία δικτύου και συστήματος αρχείων είναι τυλιγμένη σε ένα χειριστής εξαιρέσεων που απορρίπτει σφάλματα, επομένως μια μπλοκαρισμένη αποστολή ή ένα αρχείο που λείπει δεν παράγει διαγνωστικό αποτέλεσμα και το μόνο που εκτυπώνεται είναι ένα μόνο αβλαβές [αναγνώριση] … εγκατεστημένο γραμμή που ενσωματώνεται στην κανονική φλυαρία εγκατάστασης. Η χρήση του webhook.site και το Pipedream είναι επίσης σκόπιμη ευκολία — και τα δύο είναι δωρεάν, άμεσα παρεχόμενες υπηρεσίες λήψης αιτημάτων, επομένως ο χειριστής δεν χρειάζεται διακομιστές τα δικά τους και οι προορισμοί μοιάζουν με συνηθισμένα ονόματα κεντρικών υπολογιστών SaaS στα αρχεία καταγραφής εξόδου.

Τα οικονομικά είναι αυτά που το κάνουν να αξίζει την προσοχή ενός υπερασπιστή, παρόλο που Ο κωδικός φορέα είναι ασήμαντος. Η καταχώριση έντεκα ονομάτων δεν κοστίζει τίποτα, το ωφέλιμο φορτίο είναι ένα το αρχείο αντιγράφηκε έντεκα φορές και ο διαχειριστής πακέτων εκτελεί όλη την εκτέλεση. Ένα μόνο λανθασμένα διαμορφωμένο pipeline οπουδήποτε καταναλώνει ένα από αυτά τα ονόματα πληρώνει για το σύνολο λειτουργία.

Συγκεκριμένα βήματα για τους αμυντικούς:

• Καρφιτσώστε εσωτερικά πεδία στο ιδιωτικό σας μητρώο. Ρυθμίστε τις παραμέτρους του npm έτσι ώστε τα εσωτερικά ονόματα να είναι κωδικοποιημένα.
   και τα πεδία εφαρμογής επιλύονται μόνο με βάση το μητρώο σας (αντιστοιχίσεις μητρώου .npmrc με πεδίο εφαρμογής, ή ένας διακομιστής μεσολάβησης που δεν υπολείπεται ποτέ του δημόσιου npm για ιδιόκτητους χώρους ονομάτων). Κρατήστε τα ονόματα δημόσιου πεδίου εφαρμογής σας έτσι ώστε κανείς άλλος να μην μπορεί να τα καταχωρίσει.

• Commit κλειδώστε τα αρχεία και εγκαταστήστε με –ignore-scripts σε CI όπου είναι εφικτό, ή Ελέγξτε το μικρό σύνολο εξαρτήσεων που πραγματικά χρειάζονται σενάρια εγκατάστασης.  Το recon.js δεν μπορεί να εκτελεστεί εάν μετά την εγκατάσταση δεν εκτελείται.

• Αντιμετωπίστε μια έκδοση 99.99.99 (ή άλλη παράλογα υψηλή) ενός εσωτερικού ονόματος ως κόκκινη σημαία στην αναθεώρηση εξαρτήσεων και την παρακολούθηση μητρώου.

• Ειδοποίηση κατά την έξοδο κατά την εγκατάσταση. A μετά την εγκατάσταση που ανοίγει ένα εξερχόμενο HTTPS σύνδεση — ειδικά με απενεργοποιημένη την επαλήθευση πιστοποιητικού — προς Οι υπηρεσίες webhook.site, Pipedream ή παρόμοιες υπηρεσίες καταγραφής αιτημάτων αξίζει να αποκλειστούν στην άκρη του δικτύου και να επισημανθούν στα αρχεία καταγραφής δημιουργίας.

• Αναζητήστε τα αντικείμενα. Ελέγξτε τους δρομείς για /tmp/.npm_recon_*.json και για το [αναγνώριση] … εγκατεστημένο σε … δείκτη στα πρόσφατα αρχεία καταγραφής CI. Εάν βρεθεί, εναλλάξτε κάθε πιστοποιητικό που εκτίθεται σε αυτό pipeline — διακριτικά CI, κλειδιά cloud, διακριτικά μητρώου και τυχόν seeds πορτοφολιού ή ιδιωτικά κλειδιά που υπάρχουν στο περιβάλλον ή σε αρχεία .env.