Shai-Hulud: Klarigo pri la npm-pakaĵvermo

Administra Efiko de la Atako kontraŭ la Provizoĉeno de Shai-Hulud

Shai-Hulud ankoraŭ aktivas hodiaŭ. Ĉi tiu vermo akcelas la templinion de la efiko. Kio iam daŭris semajnojn ĉe trojano nun disvolviĝas en horoj. Rezulte, la disvastiĝo estas pli rapida kaj pli malfacile enhavi. Ĝi progresas per:

• Ŝtelado de npm-publikigaj ĵetonoj kaj GitHub-sekretoj.
• Reeldonante sin en aliajn npm-pakaĵojn.
• Aldonante malicajn GitHub Actions-laborfluojn por persisto.

Kiu estas trafita:

Ĉiu teamo, kiu instalas publikajn npm-pakaĵojn, estas eksponita. Krome, programistoj kun kaŝmemoritaj npm aŭ GitHub-ĵetonoj alfrontas altan riskon. CI-rulistoj, kiuj uzas larĝ-ampleksajn sekretojn, ankaŭ estas vundeblaj.

Komerca risko

La efiko sur la komerco rapide kreskas. Ŝtelitaj ĵetonoj povas konduki al konto-transpreno, pakaĵ-forkapto, kaj eĉ nuba misuzo. Krome, persisto en GitHub-laborfluoj malfaciligas purigadon. Tial, teamoj devas trakti Shai-Hulud kiel daŭrantan okazaĵon, ne fermitan.

Kiel Funkcias la Atako Kontraŭ la Provizoĉeno de Shai-Hulud en NPM-Pakaĵoj

Celoj kaj motivo de la atakanto

La kampanjo optimumigas por tri aferoj:

• La unua celo estas ŝteli akreditaĵojn je granda skalo de programistaj tekokomputiloj kaj CI-kuristoj. Tio inkluzivas npm-publikigajn ĵetonojn, GitHub-ĵetonojn kaj nubajn akreditaĵojn. Fakte, pluraj analizoj konfirmas sisteman sekretan rikoltadon, kiel ekzemple funkciigon de TruffleHog kaj pridemandadon de nubaj metadatenoj.
• La dua celo estas disvastiĝi aŭtomate misuzante la publikigajn rajtojn de kompromititaj prizorgistoj. Rezulte, unu bazo rapide disetendiĝas en multajn, ĉar novaj infektitaj versioj de aliaj pakaĵoj aperas sen plia homa peno.
• La tria celo estas persistas kaj eksfiltras fidinde per GitHub-infrastrukturo. Atakantoj kreas publikan deponejon nomitan "Shai-Hulud" kun duobla bazo64 datumoj.json, kaj krome ili plantas laborfluon kiu seriigas ${{ toJSON(sekretoj) }} kaj afiŝas ĝin al statika rethoko.

La verŝajna rekompenco inkluzivas longdaŭran aliron al registroj kaj fontkodo, rapidan lateralan movadon en nubajn kontojn, kaj la eblon plu armiligi la provizoĉenon. Publikaj raportoj montras privatajn deponejojn transdonitajn al publikaj kun "-migrado" sufikso, kiu pliigas datenmalkovron kaj impeton

Ene de la Ŝai-Hulud-Ŝarĝo: fasko.js en npm-Pakaĵoj

Shai-Hulud ŝipoj kiel granda, Webpack-faskigita kaj tre minigita JavaScript-dosiero (fasko.js, ĉirkaŭ 3–3.7 MB) kiu efektiviĝas de postinstalo hoki en pako.jsonSekve, Ĉiu instalado aŭtomate ekigas la utilan ŝarĝon. Ĉi tiu dezajno kaŝas identigilojn, kunpremas la stirfluon, kaj puŝas ĉiun logikon en unuopan artefakton, kiu efektiviĝas dum instalado. Analizistoj konstante konfirmas la faskadon de Webpack, nekutiman dosiergrandecon, kaj instaltempan efektivigon.

Malklarigado kaj kontraŭanalizaj trajtoj, kiujn vi vidos en specimenoj:

• Minimumigita modula grafo kun numeraj modulaj identigiloj, maldensaj komentoj kaj platigita kontrolfluo. Krome, ĉi tiu strukturo malfaciligas manan revizion ekstreme.
• Kaŝado de ŝnuroj per base64-tavoloj kaj konstruhelpantoj. Ekzemple, ripetata base64-kodado kaj malkodado kutime aperas ĉirkaŭ elfiltraj rutinoj.
• Dinamika forsendo tra takso-stilaj ŝablonoj kaj generitaj funkciaj korpoj, tial ebligante al kodo ŝanĝi konduton dum rulado.
• OS-filtrado preferi Linukson kaj macOS-ekzekuton precipe sur CI-ruliloj kaj programistaj tekokomputiloj.

El funkcia perspektivo, la pakaĵo estas modula. Skriboj priskribas modulojn por malkovro de operaciumoj, skanadoj de dosiersistemoj kaj git-sekretskanadoj, aliro al nuba SDK, operacioj al GitHub API, kaj disvastigmotoro kiu redaktas aliajn pakaĵojn posedatajn de la prizorgisto. Fakte, StepSecurity kaj ReversingLabs ambaŭ elstarigas funkcion kiu aŭtomate ĝisdatigas pakaĵojn kun la malica hoko.

Instaltempa Ekzekuto en Shai-Hulud: Kiel npm-Pakaĵoj Ekigas la Vermon

La atako komenciĝas kiam postinstalaj kuradoj nodo fasko.js. Je ĉi tiu punkto, la skripto inicialigas kaj malpakas la funkciantan staton en la memoro, preparante la scenejon por la plena operacio de la vermo.

Malkovro kaj rikoltlaboro

• La ŝarĝo forigas process.env kaj skanas lokajn dosierojn por sekretoj kun alta entropio kaj prefiksoj de ĵetonoj. Krome, ĝi etendas la kovradon per funkciigo de TruffleHog.
• Ĝi pridemandas nubajn metadatenajn finpunktojn por kolekti mallongdaŭrajn akreditaĵojn. Ekzemple, vokoj al 169.254.169.254 ĉe AWS aŭ metadata.google.internal sur GCP ofte aperas en infektitaj gastigantoj.
• sekve, ĉiu trovita akreditaĵo fariĝas tuj uzebla por publikigi novajn npm-pakaĵojn aŭ puŝi GitHub-laborfluojn.

Eksfiltrado

• La vermo kreas novan GitHub-deponejon nomatan Shai-Hulud kaj skribas duoblan base64-koditan data.json kun platformaj detaloj, ĉirkaŭaĵaj elŝutoj kaj sekretoj. Kiel videblas, ĉi tiu brua konduto estas facile videbla se defendantoj scias kie serĉi.
• Ĝi ankaŭ plantas laborfluon de GitHub Actions, ofte sur branĉo nomita ŝai-hulud, kiu seriigas ${{ toJSON(secrets) }} kaj afiŝas la datumojn al statika retkonektilo. Krome, ĉi tiu laborfluo daŭras ĝis iu aktive forigas ĝin.

Disvastigo

• Kun iu ajn malkovrita npm-ĵetono, la utila ŝarĝo listigas ĉiujn pakaĵojn posedatajn de la kompromitita prizorgisto. Poste, ĝi prenas ĉiun tar-dosieron, injektas bundle.js kaj postinstalan eniron, kaj republikigas la pakaĵon.
• Rezulte, dekoj da infektitaj pakaĵoj povas aperi post kelkaj horoj, multobligante la eksplodradiuson tra la ekosistemo.

Persisto kaj eksponiĝo

• La vermo tenas malicajn laborfluojn vivaj kaj, en pluraj kazoj, ŝanĝas privatajn deponejojn al publikaj per "-migrado" sufikso. Entute, tio certigas, ke la atakanto konservas bazon kaj maksimumigas datenlikon.

Ŝlosila detektonoto
Ĉi tiu nekutima uzo de ${{ toJSON(secrets) }} en Agoj laborfluoj estas maloftaj. Sekve, teamoj devus trakti ĝin kiel alt-signalan indikilon dum ĉasadoj.

Sanigita laborflua ŝablono, kiun vi devus serĉi

Ĉi tiu nekutima uzo de al JSON(sekretoj) en Agoj estas alt-signala indikilo en ĉi tiu okazaĵo.

Altnivela disvastiĝa pseŭdokodo (sekura, priskriba)