Shai-Hulud: Npm-pakettimato selitettynä

Shai-Huludin toimitusketjuhyökkäyksen vaikutus johtoon

Shai-Hulud on edelleen aktiivinen. Tämä mato nopeuttaa iskun aikataulua. Se, mikä ennen kesti viikkoja troijalaisen kanssa, tapahtuu nyt tunneissa. Tämän seurauksena... leviäminen on nopeampaa ja vaikeampaa hillitä. Se etenee seuraavasti:

• Npm-julkaisutunnusten ja GitHub-salaisuuksien varastaminen.
• Julkaisee itsensä uudelleen muissa npm-paketteissa.
• Haitallisten GitHub Actions -työnkulkujen lisääminen pysyvyyden parantamiseksi.

Ketä se koskee:

Kaikki julkisia npm-paketteja asentavat tiimit ovat alttiina. Lisäksi kehittäjät, joilla on välimuistissa olevia npm- tai GitHub-tokeneja, ovat suuressa vaarassa. Myös laaja-alaisia ​​salaisuuksia käyttävät CI-ajurit ovat haavoittuvia.

Liiketoiminnan riski

Liiketoimintavaikutus kasvaa nopeasti. Varastetut tokenit voivat johtaa tilin kaappaukseen, pakettien kaappaukseen ja jopa pilvipalvelun väärinkäyttöön. Lisäksi niiden pysyvyys GitHub-työnkuluissa vaikeuttaa niiden puhdistamista. Siksijoukkueiden on käsiteltävä Shai-Huludia jatkuvana tapauksena, ei suljettuna sellaisena.

Kuinka Shai-Hulud-toimitusketjuhyökkäys toimii npm-paketeissa

Hyökkääjän tavoitteet ja motiivi

Kampanja optimoidaan kolmen asian perusteella:

• Ensimmäinen tavoite on varastaa valtakirjoja laajamittaisesti kehittäjien kannettavilta tietokoneilta ja CI-ajureilta. Tähän sisältyvät npm-julkaisutunnukset, GitHub-tunnukset ja pilvitunnistetiedot. Itse asiassa useat analyysit vahvistavat systemaattisen salaisen tiedon keräämisen, kuten TruffleHogin suorittamisen ja pilvimetatietojen päätepisteiden kyselyn.
• Toinen tavoite on levitä automaattisesti väärinkäyttämällä vaarantuneiden ylläpitäjien julkaisuoikeuksia. Tämän seurauksena yksi jalansija laajenee nopeasti moniksi, koska muiden pakettien uusia tartunnan saaneita versioita ilmestyy ilman lisäinhimillistä työtä.
• Kolmas tavoite on säilyvät ja erittyvät luotettavasti GitHub-infrastruktuurin kautta. Hyökkääjät luovat julkisen repon nimeltä ”Shai-Hulud” ja käyttävät kahta base64-arvoa. data.jsonja lisäksi he ottavat käyttöön työnkulun, joka sarjoittaa ${{ toJSON(salaisuudet) }} ja lähettää sen staattiseen webhookiin.

Todennäköisiin hyödyihin kuuluvat pitkäaikainen pääsy rekistereihin ja lähdekoodiin, nopea siirtyminen pilvitileille ja mahdollisuus toimitusketjun aseistamiseen entisestään. Julkinen raportointi osoittaa, että yksityiset arkistot on muutettu julkisiksi. "-muutto" pääte, joka lisää datan altistumista ja vauhtia

Shai-Hulud-hyötykuorman sisällä: bundle.js npm-paketeissa

Shai-Hulud laivoina suuri, Webpack-paketti ja vahvasti minifioitu JavaScript-tiedosto (bundle.js, noin 3–3.7 Mt) joka suoritetaan jostakin asennuksen jälkeen koukku package.jsonNäin ollen, Jokainen asennus käynnistää hyötykuorman automaattisesti. Tämä suunnittelu piilottaa tunnisteet, pakkaa ohjausvirran ja tuo kaiken logiikan yhteen funktioon, joka suoritetaan asennuksen aikana. Analyytikot vahvistavat johdonmukaisesti Webpack-niputuksen, epätavallisen tiedostokoon ja asennuksenaikaisen suorituksen.

Esimerkeissä havaittavat hämärtämis- ja analyysinvastaisuuspiirteet:

• Pienennetyn moduulin graafi numeerisilla moduulitunnisteilla, harvoilla kommenteilla ja litistetyllä ohjausvirralla. Lisäksi, Tämä rakenne tekee manuaalisesta tarkastelusta erittäin vaikeaa.
• Merkkijonojen piilottaminen base64-tasojen ja rakennusapuohjelmien kautta. Esimerkiksi, Toistuvaa base64-koodausta ja -dekoodausta esiintyy yleensä vuotorutiinien yhteydessä.
• Dynaaminen lähetys kautta eval-tyyliset kuviot ja luodut funktiorungot, mikä mahdollistaa koodin toiminnan muuttamisen suorituksen aikana.
• Käyttöjärjestelmän suodatus suosia Linux- ja macOS-suoritusta erityisesti CI-käyttöjärjestelmissä ja kehittäjien kannettavissa tietokoneissa.

Toiminnallisesta näkökulmasta katsottuna paketti on modulaarinen. Kirjoitukset kuvaavat moduuleja käyttöjärjestelmän löytämiseen, tiedostojärjestelmän ja git-salaisuuksien skannaukseen, pilvi-SDK:n käyttöön, GitHub API -toimintoihin ja levittämismoottoriin, joka muokkaa ylläpitäjän omistamia muita paketteja. Itse asiassa sekä StepSecurity että ReversingLabs korostavat funktiota, joka päivittää paketit automaattisesti haitallisen koukun avulla.

Asennusaikainen suoritus Shai-Huludissa: Kuinka npm-paketit laukaisevat madon

Hyökkäys alkaa, kun asennuksen jälkeiset suoritukset solmu bundle.js. Tässä vaiheessa skripti alustaa ja purkaa toimintatilan muistissa, mikä luo pohjan madon täydelle toiminnalle.

Löytö ja sadonkorjuu

• Hyötykuorma luo process.env-tiedoston ja skannaa paikalliset tiedostot korkean entropian salaisuuksien ja token-etuliitteiden varalta. Lisäksi se laajentaa kattavuutta suorittamalla TruffleHogin.
• Se kyselee pilvimetatietojen päätepisteitä kerätäkseen lyhytaikaisia ​​tunnistetietoja. Esimerkiksi puhelut 169.254.169.254 AWS:ssä tai metadata.google.internal GCP:ssä esiintyvät usein tartunnan saaneissa isännissä.
• Näin ollen Kaikki löydetyt tunnistetiedot ovat välittömästi käytettävissä uusien npm-pakettien julkaisemiseen tai GitHub-työnkulkujen ajamiseen.

exfiltration

• Mato luo uuden GitHub-repon nimeltä Shai Hulud ja kirjoittaa kaksinkertaisen base64-koodatun data.json alustan yksityiskohtien, ympäristövedosten ja salaisuuksien kera. Kuten voidaan nähdä, tämä äänekäs käyttäytyminen on helppo havaita, jos puolustajat tietävät, mistä etsiä.
• Se myös istuttaa GitHub Actions -työnkulun, usein haaraan nimeltä shai-hulud, joka sarjoittaa ${{ toJSON(secrets) }} ja lähettää tiedot staattiseen webhookiin. Lisäksi tämä työnkulku jatkuu, kunnes joku poistaa sen aktiivisesti.

Eteneminen

• Kaikista löydetyistä npm-tokeneista hyötykuorma luetteloi kaikki vaarantuneen ylläpitäjän omistamat paketit. Sitten se noutaa jokaisen tarballin, lisää bundle.js-tiedoston ja asennuksen jälkeisen merkinnän ja julkaisee paketin uudelleen.
• Tämän seurauksena kymmeniä tartunnan saaneita paketteja voi ilmestyä muutamassa tunnissa, mikä moninkertaistaa räjähdyksen säteen ekosysteemissä.

Pysyvyys ja altistuminen

• Mato pitää haitalliset työnkulut hengissä ja useissa tapauksissa muuttaa yksityiset arkistot julkisiksi käyttämällä "-muutto" pääte. Kaiken kaikkiaan tämä varmistaa, että hyökkääjä säilyttää jalansijan ja maksimoi tietovuodon.

Avaimen tunnistushuomautus
Tämä epätavallinen käyttö ${{ toJSON(secrets) }} Toimintojen työnkuluissa on harvinaista. Näin ollen, joukkueiden tulisi pitää sitä korkean signaalin indikaattorina metsästysten aikana.

Puhdistettu työnkulkumalli, jota sinun kannattaa etsiä

Tämä epätavallinen käyttö että JSON(salaisuudet) Toiminnoissa on tässä tapauksessa korkea signaali-indikaattori.

Korkean tason etenemispseudokoodi (turvallinen, kuvaileva)