Shai-Hulud: npm paketeen harra azalduta

Shai-Hulud hornikuntza-katearen erasoaren eragin exekutiboa

Shai-Hulud gaur egun ere aktibo dago. Har honek inpaktuaren denbora-lerroa bizkortzen du. Troiar batekin asteak behar zituena orain ordu gutxitan gertatzen da. Ondorioz, hedapena azkarragoa eta zailagoa da kontrolatzen. Aurrera egiten du honela:

• npm argitaratze tokenak eta GitHub sekretuak lapurtzea.
• Beste npm pakete batzuetan berriro argitaratzen.
• Iraunkortasunerako GitHub Ekintzen lan-fluxu gaiztoak gehitzen.

Nori eragiten dio:

npm pakete publikoak instalatzen dituen edozein talde ahul geratzen da. Gainera, npm edo GitHub tokenak cachean dituzten garatzaileek arrisku handia dute. Sekretu zabalak erabiltzen dituzten CI exekutatzaileak ere ahulak dira.

Negozio arriskua

Negozioetan eragina azkar hazten da. Token lapurtuek kontuen kontrola, paketeen bahiketa eta baita hodeiko erabilera okerra ere ekar ditzakete. Gainera, GitHub-eko lan-fluxuetan iraunkortasunak garbiketa zailtzen du. Horregatik, taldeek Shai-Hulud gertakari jarraitu gisa tratatu behar dute, ez itxitako gertakari gisa.

Nola funtzionatzen duen Shai-Hulud hornidura-katearen erasoak npm paketeetan

Erasotzailearen helburuak eta motiboa

Kanpainak hiru gauza hauetarako optimizatzen du:

• Lehenengo helburua da eskala handiko kredentzialak lapurtu garatzaileen ordenagailu eramangarrietatik eta CI exekutatzaileetatik. Honen barruan sartzen dira npm argitaratze tokenak, GitHub tokenak eta hodeiko kredentzialak. Izan ere, hainbat analisik baieztatzen dute sekretuen bilketa sistematikoa, hala nola TruffleHog exekutatzea eta hodeiko metadatuen amaierako puntuak kontsultatzea.
• Bigarren helburua da automatikoki hedatzen mantentze-langile kaltetuen argitalpen-eskubideak abusatuz. Ondorioz, oinarri bat azkar zabaltzen da beste pakete batzuen bertsio kutsatu berriak gizakiaren ahalegin gehigarririk gabe agertzen baitira.
• Hirugarren helburua da iraun eta modu fidagarrian iragazi GitHub azpiegituraren bidez. Erasotzaileek “Shai-Hulud” izeneko biltegi publiko bat sortzen dute base64 bikoitzarekin datuak.json, eta gainera, serializatzen duen lan-fluxu bat ezartzen dute ${{ toJSON(sekretuak) }} eta webhook estatiko batera bidaltzen du.

Irabazi probableen artean, erregistroetarako eta iturburu-koderako sarbide iraunkorra, hodeiko kontuetarako mugimendu lateral azkarra eta hornikuntza-katea gehiago arma bihurtzeko aukera daude. Txosten publikoek erakusten dute gordailu pribatuak publiko bihurtu direla... "-migrazioa" atzizkia, datuen esposizioa eta momentua handitzen dituena

Shai-Hulud kargaren barruan: multzoa.js npm paketeetan

Shai-Hulud itsasontziak gisa handia, Webpack-ean multzokatua eta oso txikitua JavaScript fitxategia (multzoa.js, 3–3.7 MB inguru) batetik exekutatzen dena. instalazio osteko lotu paketea.jsonOndorioz, Instalazio bakoitzak automatikoki abiarazten du karga. Diseinu honek identifikatzaileak ezkutatzen ditu, kontrol-fluxua konprimitzen du eta logika guztia instalazioan zehar exekutatzen den artefaktu bakarrean sartzen du. Analistek etengabe baieztatzen dute Webpack multzokatzea, fitxategi-tamaina ezohikoa eta instalazio-garaiko exekuzioa.

Laginetan ikusiko dituzun nahasmendu eta analisi-kontrako ezaugarriak:

• Modulu grafiko txikitua zenbakizko modulu IDekin, iruzkin urriak eta kontrol-fluxu berdinduarekin. Gainera, Egitura honek eskuzko berrikuspena izugarri zailtzen du.
• Kateak ezkutatzea base64 geruzen eta eraikuntza laguntzaileen bidez. Adibidez, base64 kodeketa eta deskodeketa errepikatuak normalean exfiltrazio errutinen inguruan agertzen dira.
• Bidalketa dinamikoa من خلال ebaluatu-estilo ereduak eta sortutako funtzio gorputzak, horrela kodeak exekuzio garaian portaera aldatzea ahalbidetuz.
• Sistema eragilearen iragazketa Linux eta macOS exekuzioa nahiago izatea, batez ere CI exekutatzaileetan eta garatzaileen ordenagailu eramangarrietan.

Ikuspegi funtzional batetik, multzoa modularra da. Idazlanek sistema eragilearen aurkikuntzarako, fitxategi-sistemaren eta git sekretuen eskaneatzeetarako, hodeiko SDKrako sarbidearako, GitHub API eragiketetarako eta mantentzaileak dituen beste paketeak editatzen dituen hedapen-motor baterako moduluak deskribatzen dituzte. Izan ere, StepSecurity eta ReversingLabs-ek kako gaiztoa duten paketeak automatikoki eguneratzen dituen funtzio bat nabarmentzen dute.

Instalazio-garaiko exekuzioa Shai-Hulud-en: Nola npm paketeek harra abiarazten duten

Erasoa hasten da noiz instalazio osteko nodoa exekutatzen da multzoa.js. Puntu honetan, script-ak funtzionamendu-egoera hasieratzen eta memorian deskonprimitzen du, zizarearen funtzionamendu osoa prestatzeko.

Aurkikuntza eta uzta biltzea

• Karga-kargak process.env fitxategia botatzen du eta tokiko fitxategiak eskaneatzen ditu entropia handiko sekretuak eta token aurrizkiak bilatzeko. Horrez gain, estaldura zabaltzen du TruffleHog exekutatuz.
• Hodeiko metadatuen amaiera-puntuak kontsultatzen ditu iraupen laburreko kredentzialak biltzeko. Esate baterako, deiak 169.254.169.254 AWS-n edo metadata.google.internal GCP-n sarritan agertzen dira ostalari infektatuetan.
• Hori dela eta, Aurkitutako edozein kredentzial berehala erabil daiteke npm pakete berriak argitaratzeko edo GitHub-eko lan-fluxuak bultzatzeko.

Esfiltrazioa

• Zizare honek GitHub-en biltegi berri bat sortzen du, Shai Hulud eta base64 kodeketa bikoitza idazten du data.json plataformaren xehetasunekin, ingurunearen zabortegiekin eta sekretuekin. Ikus daitekeenez, portaera zaratatsu hau erraz antzematen da defendatzaileek non begiratu behar duten badakite.
• GitHub Actions lan-fluxu bat ere landatzen du, askotan izeneko adar batean shai-hulud, serializatzen duena ${{ toJSON(secrets) }} eta datuak webhook estatiko batera bidaltzen ditu. Gainera, lan-fluxu hau norbaitek aktiboki kendu arte mantentzen da.

Hedapena

• Edozein npm token aurkituta, kargak kaltetutako mantentzaileak dituen pakete guztiak zerrendatzen ditu. Ondoren, tarball bakoitza eskuratzen du, bundle.js eta instalazio osteko sarrera bat txertatzen ditu, eta paketea berriro argitaratzen du.
• Ondorioz, dozenaka pakete kutsatu ager daitezke ordu gutxiren buruan, ekosistema osoko leherketa-erradioa biderkatuz.

Iraunkortasuna eta esposizioa

• Harrak lan-fluxu gaiztoak bizirik mantentzen ditu eta, hainbat kasutan, biltegi pribatuak publiko bihurtzen ditu. "-migrazioa" atzizkia. Oro har, horrek erasotzaileak oinarri bat mantentzen du eta datu-ihesa maximizatzen du.

Gako detekzio oharra
Erabilera ezohiko honek ${{ toJSON(secrets) }} Ekintzen lan-fluxuetan arraroa da. Hori dela eta, Taldeek seinale handiko adierazle gisa hartu beharko lukete ehizetan zehar.

Bilatu beharko zenukeen lan-fluxu eredu garbitua

Erabilera ezohiko honek to JSON(sekretuak) Ekintzetan seinale handiko adierazlea da gertakari honetan.

Goi-mailako hedapen-pseudo-kodea (segurua, deskriptiboa)