Shai-Hulud: NPM-i pakettide uss selgitatud

Shai-Huludi tarneahela rünnaku mõju juhtkonnale

Shai-Hulud on tänapäevalgi aktiivne. See uss kiirendab mõju ajajoont. See, mis kunagi troojalasega nädalaid võttis, toimub nüüd tundidega. Selle tulemusena... levik on kiirem ja raskem ohjeldada. See edeneb järgmiselt:

• Npm-i avaldamismärkide ja GitHubi saladuste varastamine.
• Avaldab end uuesti teistes npm-pakettides.
• Pahatahtlike GitHub Actionsi töövoogude lisamine püsivuse tagamiseks.

Keda see mõjutab:

Iga meeskond, kes installib avalikke npm-pakette, on haavatav. Lisaks on suur risk arendajatel, kellel on vahemällu salvestatud npm- või GitHubi tokenid. Samuti on haavatavad CI-käitlejad, kes kasutavad laiaulatuslikke saladusi.

Äririsk

Mõju ettevõttele kasvab kiiresti. Varastatud märgid võivad viia konto ülevõtmiseni, pakettide kaaperdamiseni ja isegi pilve väärkasutamiseni. Lisaks raskendab püsivus GitHubi töövoogudes nende puhastamist. Seetõttupeavad meeskonnad käsitlema Shai-Huludi käimasoleva, mitte lõppenud intsidendina.

Kuidas Shai-Huludi tarneahela rünnak npm-pakettides toimib

Ründaja eesmärgid ja motiiv

Kampaania optimeerib kolme asja jaoks:

• Esimene eesmärk on varastada volitusi suures mahus arendajate sülearvutitest ja CI-käivitajatest. See hõlmab npm-i avaldamismärke, GitHubi märke ja pilvepõhiseid volikirju. Tegelikult kinnitavad mitmed analüüsid süstemaatilist salajaste andmete kogumist, näiteks TruffleHogi käitamine ja pilve metaandmete lõpp-punktide päringud.
• Teine eesmärk on levivad automaatselt kuritarvitades ohustatud hooldajate avaldamisõigusi. Selle tulemusel laieneb üks tugipunkt kiiresti paljudeks, kuna teiste pakettide uued nakatunud versioonid ilmuvad ilma täiendava inimtööta.
• Kolmas eesmärk on püsivad ja filtreeruvad usaldusväärselt GitHubi infrastruktuuri kaudu. Ründajad loovad avaliku hoidla nimega „Shai-Hulud“ kahekordse base64-ga andmed.jsonja lisaks loovad nad töövoo, mis serialiseerib ${{ toJSON(saladused) }} ja postitab selle staatilisse veebihooki.

Tõenäoline tasu hõlmab pikaajalist juurdepääsu registritele ja lähtekoodile, kiiret horisontaalset liikumist pilvekontodele ning võimalust tarneahelat veelgi relvana kasutada. Avalik aruandlus näitab, et privaatsed hoidlad on avalikeks muudetud. „-migratsioon” järelliide, mis suurendab andmetega kokkupuudet ja hoogu

Shai-Huludi kasuliku lasti sees: bundle.js npm-pakettides

Shai-Hulud laevad kui suur, Webpack-komplekteeritud ja tugevalt minimeeritud JavaScripti fail (bundle.js, umbes 3–3.7 MB) mis käivitatakse a-st pärast installimist haakima pakett.jsonJärelikult, Iga install käivitab kasuliku koormuse automaatselt. See disain peidab identifikaatorid, tihendab juhtimisvoo ja koondab kogu loogika ühte artefakti, mis käivitatakse installimise ajal. Analüütikud kinnitavad järjepidevalt Webpacki komplekteerimist, ebatavalist failisuurust ja installimise ajal käivitamist.

Näidetes esinevad hämamise ja analüüsivastased tunnused:

• Minimeeritud mooduligraaf numbriliste mooduli ID-de, hõredate kommentaaride ja lameda juhtimisvooga. Lisaks, See struktuur muudab käsitsi ülevaatamise äärmiselt keeruliseks.
• Stringi peitmine base64 kihtide ja ehitusabiliste kaudu. Näiteks, Korduv base64 kodeering ja dekodeerimine ilmneb tavaliselt väljafiltreerimisrutiinide ümbruses.
• Dünaamiline dispetšer läbi evalstiilis mustrid ja genereeritud funktsioonide kehad, võimaldades seega koodil käitumist käitusajal muuta.
• OS-i filtreerimine eelistada Linuxi ja macOS-i käitumist, eriti CI-töölaual ja arendajate sülearvutitel.

Funktsionaalsest vaatenurgast on komplekt modulaarne. Kirjeldatakse mooduleid operatsioonisüsteemi tuvastamiseks, failisüsteemi ja Giti salakoodide skannimiseks, pilve SDK-le juurdepääsuks, GitHubi API toiminguteks ja levitamismootoriks, mis redigeerib hooldajale kuuluvaid teisi pakette. Tegelikult toovad nii StepSecurity kui ka ReversingLabs esile funktsiooni, mis automaatselt pahatahtliku konksuga pakette värskendab.

Installiaegne täitmine Shai-Huludis: kuidas npm-paketid ussi käivitavad

Rünnak algab siis, kui pärast installimist käivitub sõlm bundle.js. Sel hetkel skript initsialiseerib ja pakib lahti mälus oleva tööoleku, luues eeldused ussi täielikuks toimimiseks.

Avastamine ja koristamine

• Kasulik koormus loob faili process.env ja skannib kohalikke faile kõrge entroopiaga saladuste ja tokeni eesliidete suhtes. Lisaks laiendab see ulatust TruffleHogi käitamisega.
• See pärib lühiajaliste volituste kogumiseks pilve metaandmete lõpp-punkte. Näiteks kõned 169.254.169.254 AWS-is või metadata.google.internal GCP-l esinevad sageli nakatunud peremeesorganismides.
• Järelikult Iga leitud mandaat muutub koheselt kasutatavaks uute npm-pakettide avaldamiseks või GitHubi töövoogude edastamiseks.

Välja filtreerimine

• Uss loob uue GitHubi repositooriumi nimega Shai Hulud ja kirjutab topelt-base64 kodeeringuga data.json platvormi üksikasjade, keskkonnaväljavõtete ja saladustega. Nagu näha, on seda lärmakat käitumist lihtne märgata, kui kaitsjad teavad, kust otsida.
• Samuti istutab see GitHub Actionsi töövoo, sageli harule nimega shai-hulud, mis serialiseerib ${{ toJSON(secrets) }} ja postitab andmed staatilisse veebihooki. Lisaks püsib see töövoog seni, kuni keegi selle aktiivselt eemaldab.

Paljundamine

• Iga avastatud npm-tokeni korral loetleb kasulik koormus kõik ohustatud hooldajale kuuluvad paketid. Seejärel hangib see iga tarballi, süstib bundle.js ja installijärgse kirje ning avaldab paketi uuesti.
• Selle tulemusel võib mõne tunniga ilmuda kümneid nakatunud pakke, mis mitmekordistavad plahvatuse raadiust kogu ökosüsteemis.

Püsivus ja kokkupuude

• Uss hoiab pahatahtlikke töövooge elus ja mitmel juhul muudab privaatsed hoidlad avalikeks, kasutades „-migratsioon” järelliide. Kokkuvõttes tagab see ründajale jalgealuse säilitamise ja maksimeerib andmete lekke.

Võtme tuvastamise märkus
See ebatavaline kasutamine ${{ toJSON(secrets) }} toimingute töövoogudes on haruldane. Seetõttu võistkonnad peaksid seda jahi ajal käsitlema kõrge signaali indikaatorina.

Puhastatud töövoo muster, mida peaksite otsima

See ebatavaline kasutamine et JSON(saladused) Toimingutes on selle juhtumi puhul kõrge signaali indikaator.

Kõrgetasemelise leviku pseudokood (turvaline, kirjeldav)