Shai-Hulud: Εξήγηση του σκουληκιού πακέτων npm

Επιπτώσεις της επίθεσης στην αλυσίδα εφοδιασμού Shai-Hulud στην εκτελεστική εξουσία

Το Shai-Hulud εξακολουθεί να είναι ενεργό σήμερα. Αυτό το σκουλήκι επιταχύνει το χρονοδιάγραμμα των επιπτώσεων. Αυτό που κάποτε χρειαζόταν εβδομάδες με ένα trojan τώρα ξεδιπλώνεται σε ώρες. Ως αποτέλεσμα, η εξάπλωση είναι ταχύτερη και πιο δύσκολο να περιοριστεί. Προχωρά με:

• Κλοπή δημοσίων tokens npm και μυστικών του GitHub.
• Αναδημοσίευση σε άλλα πακέτα npm.
• Προσθήκη κακόβουλων ροών εργασίας GitHub Actions για διατήρηση.

Ποιοι επηρεάζονται:

Οποιαδήποτε ομάδα εγκαθιστά δημόσια πακέτα npm είναι εκτεθειμένη. Επιπλέον, οι προγραμματιστές με προσωρινά αποθηκευμένα npm ή GitHub tokens αντιμετωπίζουν υψηλό κίνδυνο. Οι CI runners που χρησιμοποιούν μυστικά ευρείας εμβέλειας είναι επίσης ευάλωτοι.

Επιχειρηματικός κίνδυνος

Ο αντίκτυπος στην επιχείρηση αυξάνεται γρήγορα. Τα κλεμμένα tokens μπορούν να οδηγήσουν σε κατάληψη λογαριασμού, παραβίαση πακέτων, ακόμη και σε κακή χρήση cloud. Επιπλέον, η επιμονή στις ροές εργασίας του GitHub δυσχεραίνει τον καθαρισμό. Επομένως, οι ομάδες πρέπει να αντιμετωπίζουν το Shai-Hulud ως ένα συνεχιζόμενο περιστατικό, όχι ως ένα ολοκληρωμένο.

Πώς λειτουργεί η επίθεση Shai-Hulud στην εφοδιαστική αλυσίδα σε πακέτα npm

Στόχοι και κίνητρο του επιτιθέμενου

Η καμπάνια βελτιστοποιεί τρία πράγματα:

• Ο πρώτος στόχος είναι να κλοπή διαπιστευτηρίων σε μεγάλη κλίμακα από φορητούς υπολογιστές προγραμματιστών και CI runners. Αυτό περιλαμβάνει tokens δημοσίευσης npm, tokens GitHub και διαπιστευτήρια cloud. Στην πραγματικότητα, πολλαπλές αναλύσεις επιβεβαιώνουν συστηματική μυστική συλλογή, όπως η εκτέλεση του TruffleHog και η υποβολή ερωτημάτων σε τελικά σημεία μεταδεδομένων cloud.
• Ο δεύτερος στόχος είναι να διαδίδεται αυτόματα με την κατάχρηση των δικαιωμάτων δημοσίευσης των παραβιασμένων συντηρητών. Ως αποτέλεσμα, ένα έρεισμα επεκτείνεται γρήγορα σε πολλά, καθώς νέες μολυσμένες εκδόσεις άλλων πακέτων εμφανίζονται χωρίς πρόσθετη ανθρώπινη προσπάθεια.
• Ο τρίτος στόχος είναι να επιμένουν και αποβάλλονται αξιόπιστα μέσω της υποδομής GitHub. Οι επιτιθέμενοι δημιουργούν ένα δημόσιο αποθετήριο με το όνομα «Shai-Hulud» με διπλή βάση64 δεδομένα.json, και επιπλέον, εγκαθιστούν μια ροή εργασίας που σειριοποιεί ${{ σεJSON(μυστικά) }} και το δημοσιεύει σε ένα στατικό webhook.

Το πιθανό αποτέλεσμα περιλαμβάνει μακροχρόνια πρόσβαση σε μητρώα και πηγαίο κώδικα, γρήγορη πλευρική μετακίνηση σε λογαριασμούς cloud και την επιλογή περαιτέρω οπλοποίησης της αλυσίδας εφοδιασμού. Οι δημόσιες αναφορές δείχνουν ότι τα ιδιωτικά αποθετήρια μετατρέπονται σε δημόσια με... "-μετανάστευση" επίθημα, το οποίο αυξάνει την έκθεση σε δεδομένα και την ορμή

Μέσα στο ωφέλιμο φορτίο Shai-Hulud: δέσμη.js σε πακέτα npm

Το Shai-Hulud αποστέλλεται ως μεγάλο, με πακέτο Webpack και σε μεγάλο βαθμό ελαχιστοποιημένο αρχείο JavaScript (δέσμη.js, περίπου 3–3.7 MB) που εκτελείται από ένα μετά την εγκατάσταση γαντζώνομαι πακέτο.jsonΚατά συνέπεια, Κάθε εγκατάσταση ενεργοποιεί αυτόματα το ωφέλιμο φορτίο. Αυτός ο σχεδιασμός αποκρύπτει τα αναγνωριστικά, συμπιέζει τη ροή ελέγχου και ωθεί όλη τη λογική σε ένα μόνο τεχνούργημα που εκτελείται κατά την εγκατάσταση. Οι αναλυτές επιβεβαιώνουν συνεχώς την ομαδοποίηση Webpack, το ασυνήθιστο μέγεθος αρχείου και την εκτέλεση κατά τον χρόνο εγκατάστασης.

Χαρακτηριστικά συσκότισης και αντι-ανάλυσης που θα δείτε σε δείγματα:

• Γράφημα ελαχιστοποιημένης ενότητας με αριθμητικά αναγνωριστικά μονάδων, αραιά σχόλια και επίπεδη ροή ελέγχου. Επιπλέον,, Αυτή η δομή καθιστά εξαιρετικά δύσκολη την χειροκίνητη αναθεώρηση.
• Απόκρυψη συμβολοσειράς μέσω στρώσεων base64 και βοηθών κατασκευής. Για παράδειγμα, Η επαναλαμβανόμενη κωδικοποίηση και αποκωδικοποίηση base64 εμφανίζεται συνήθως γύρω από ρουτίνες εκδιήθησης.
• Δυναμική αποστολή μέσω κακμοτίβα -style και δημιουργημένα σώματα συναρτήσεων, επιτρέποντας έτσι στον κώδικα να αλλάζει συμπεριφορά κατά τον χρόνο εκτέλεσης.
• Φιλτράρισμα λειτουργικού συστήματος να προτιμάται η εκτέλεση σε Linux και macOS, ειδικά σε δρομείς CI και φορητούς υπολογιστές προγραμματιστών.

Από λειτουργικής άποψης, η δέσμη είναι αρθρωτή. Τα writeup περιγράφουν ενότητες για την ανακάλυψη λειτουργικού συστήματος, τις μυστικές σαρώσεις συστήματος αρχείων και git, την πρόσβαση στο cloud SDK, τις λειτουργίες GitHub API και μια μηχανή διάδοσης που επεξεργάζεται άλλα πακέτα που κατέχει ο συντηρητής. Στην πραγματικότητα, το StepSecurity και το ReversingLabs επισημαίνουν μια λειτουργία που ενημερώνει αυτόματα τα πακέτα με το κακόβουλο άγκιστρο.

Εκτέλεση χρόνου εγκατάστασης στο Shai-Hulud: Πώς τα πακέτα npm ενεργοποιούν τον ιό Worm

Η επίθεση ξεκινά όταν μετά την εγκατάσταση εκτελεί τον κόμβο δέσμη.js. Σε αυτό το σημείο, το σενάριο αρχικοποιείται και αποσυμπιέζει την κατάσταση εργασίας στη μνήμη, θέτοντας τις βάσεις για την πλήρη λειτουργία του worm.

Ανακάλυψη και συγκομιδή

• Το ωφέλιμο φορτίο εκτελεί dumps στο process.env και σαρώνει τα τοπικά αρχεία για μυστικά υψηλής εντροπίας και προθέματα token. Επιπλέον, επεκτείνει την κάλυψη εκτελώντας το TruffleHog.
• Υποβάλλει ερωτήματα σε τελικά σημεία μεταδεδομένων cloud για τη συλλογή βραχύβιων διαπιστευτηρίων. Για παράδειγμα, κλήσεις προς 169.254.169.254 στο AWS ή metadata.google.internal στο GCP εμφανίζονται συχνά σε μολυσμένους ξενιστές.
• Κατά συνέπεια, Οποιοδήποτε διαπιστευτήριο βρεθεί γίνεται άμεσα χρησιμοποιήσιμο για τη δημοσίευση νέων πακέτων npm ή την προώθηση ροών εργασίας GitHub.

εκδιήθησης

• Το σκουλήκι δημιουργεί ένα νέο αποθετήριο GitHub με το όνομα Shai Hulud και γράφει ένα διπλό base64-κωδικοποιημένο data.json με λεπτομέρειες πλατφόρμας, dumps περιβάλλοντος και μυστικά. Όπως μπορεί να φανεί, αυτή η θορυβώδης συμπεριφορά είναι εύκολο να εντοπιστεί αν οι αμυνόμενοι ξέρουν πού να ψάξουν.
• Επίσης, εγκαθιστά μια ροή εργασίας GitHub Actions, συχνά σε έναν κλάδο με όνομα σάι-χουλούντ, που σειριοποιείται ${{ toJSON(secrets) }} και δημοσιεύει τα δεδομένα σε ένα στατικό webhook. Επιπλέον, αυτή η ροή εργασίας παραμένει μέχρι κάποιος να την αφαιρέσει ενεργά.

Διάδοση

• Με οποιοδήποτε αναγνωριστικό npm που ανακαλύπτεται, το payload απαριθμεί όλα τα πακέτα που ανήκουν στον παραβιασμένο διαχειριστή. Στη συνέχεια, ανακτά κάθε tarball, εισάγει το bundle.js και μια καταχώρηση μετά την εγκατάσταση και δημοσιεύει ξανά το πακέτο.
• Ως αποτέλεσμα, δεκάδες μολυσμένα πακέτα μπορούν να εμφανιστούν μέσα σε λίγες ώρες, πολλαπλασιάζοντας την ακτίνα έκρηξης σε όλο το οικοσύστημα.

Επιμονή και έκθεση

• Το worm διατηρεί ζωντανές τις κακόβουλες ροές εργασίας και, σε αρκετές περιπτώσεις, μετατρέπει τα ιδιωτικά αποθετήρια σε δημόσια με ένα "-μετανάστευση" επίθημα. Συνολικά, αυτό διασφαλίζει ότι ο εισβολέας διατηρεί μια βάση και μεγιστοποιεί τη διαρροή δεδομένων.

Σημείωση ανίχνευσης κλειδιού
Αυτή η ασυνήθιστη χρήση του ${{ toJSON(secrets) }} Οι ροές εργασίας στις Ενέργειες είναι σπάνιες. Ως εκ τούτου, Οι ομάδες θα πρέπει να το αντιμετωπίζουν ως δείκτη υψηλού σήματος κατά τη διάρκεια των κυνηγιών.

Αποστειρωμένο μοτίβο ροής εργασίας που πρέπει να αναζητήσετε

Αυτή η ασυνήθιστη χρήση του προς την JSON (μυστικά) Το στις Ενέργειες είναι ένας δείκτης υψηλού σήματος σε αυτό το περιστατικό.

Ψευδοκώδικας διάδοσης υψηλού επιπέδου (ασφαλής, περιγραφικός)