Shai-Hulud: De npm-pakkettenwjirm útlein

Ynfloed op 'e útfierende macht fan 'e Shai-Hulud Supply Chain-oanfal

Shai-Hulud is hjoed de dei noch aktyf. Dizze wjirm fersnelt de tiidline fan 'e ynfloed. Wat eartiids wiken duorre mei in trojan ûntfoldt him no yn oeren. As gefolch, de fersprieding is rapper en dreger te beheinen. It giet foarút troch:

• It stellen fan npm-publisearringstokens en GitHub-geheimen.
• himsels opnij publisearje yn oare npm-pakketten.
• Kweade GitHub Actions-workflows tafoegje foar persistinsje.

Wa wurdt beynfloede:

Elk team dat iepenbiere npm-pakketten ynstallearret, wurdt bleatsteld. Boppedat rinne ûntwikkelders mei yn 'e cache opsleine npm- of GitHub-tokens foar in heech risiko. CI-runners dy't breed gebrûk meitsje fan geheimen binne ek kwetsber.

Business risiko

De ynfloed op it bedriuw groeit rap. Stellen tokens kinne liede ta akkountoername, pakketkaping en sels misbrûk fan 'e wolk. Derneist makket persistinsje yn GitHub-workflows it dreger om op te romjen. Dêrom, teams moatte Shai-Hulud behannelje as in oanhâldend ynsidint, net as in sletten ynsidint.

Hoe't de Shai-Hulud Supply Chain Attack wurket yn npm-pakketten

Doelen en motyf fan 'e oanfaller

De kampanje optimalisearret foar trije dingen:

• De earste doelstelling is om stelle ynloggegevens op skaal fan ûntwikkelderslaptops en CI-runners. Dit omfettet npm-publisearringstokens, GitHub-tokens en wolkgegevens. Eins befêstigje meardere analyses systematyske geheime rispinge, lykas it útfieren fan TruffleHog en it opfreegjen fan wolkmetadata-eindpunten.
• It twadde doel is om automatysk ferspriede troch misbrûk te meitsjen fan de publisearringsrjochten fan kompromittearre ûnderhâlders. As gefolch dêrfan wreidet ien fuotsteun him fluch út nei in protte, om't nije ynfekteare ferzjes fan oare pakketten ferskine sûnder ekstra minsklike ynspanning.
• It tredde doel is om oanhâlde en betrouber útfiltrearje fia GitHub-ynfrastruktuer. Oanfallers meitsje in iepenbiere repo mei de namme "Shai-Hulud" mei in dûbele basis64 gegevens.json, en derneist plante se in workflow dy't serialisearret ${{ neiJSON(geheimen) }} en pleatst it op in statyske webhook.

De wierskynlike beleanning omfettet langduorjende tagong ta registers en boarnekoade, rappe laterale beweging nei wolkakkounts, en de opsje om de supply chain fierder te bewapenjen. Iepenbiere rapportaazje lit sjen dat partikuliere repo's nei it publyk binne omset mei in "-migraasje" efterheaksel, wat gegevenseksposysje en momentum fergruttet

Binnen de Shai-Hulud lading: bondel.js yn npm-pakketten

Shai-Hulud ferstjoert as in grut, Webpack-bondele en swier minimalisearre JavaScript triem (bondel.js, sawat 3–3.7 MB) dat útfiert fanút in nei ynstallaasje heakje yn pakket.jsonDêrtroch, elke ynstallaasje triggert de lading automatysk. Dit ûntwerp ferberget identifiers, komprimearret de kontrôlestream en komprimearret alle logika yn ien artefakt dat útfierd wurdt tidens de ynstallaasje. Analysten befêstigje konsekwint Webpack-bundeling, ungewoane bestânsgrutte en útfiering tidens ynstallaasje.

Fertsjustering en anty-analyse-eigenskippen dy't jo sille sjen yn foarbylden:

• Fermindere modulegrafyk mei numerike module-ID's, sparse kommentaren en in platte kontrôlestream., dizze struktuer makket hânmjittige resinsje ekstreem lestich.
• String ferbergje fia base64-lagen en konstruksjehelpers. Bygelyks, werhelle base64-kodearring en dekodearring ferskine meastentiids om eksfiltraasjeroutines hinne.
• Dynamyske ferstjoering troch eval-stylpatroanen en generearre funksjelichems, wêrtroch koade it gedrach by runtime kin feroarje.
• OS-filtering om foarkar te jaan oan Linux- en macOS-útfiering, benammen op CI-rinners en laptops foar ûntwikkelders.

Fanút in funksjoneel eachpunt is de bondel modulêr. Writups beskriuwe modules foar OS-ûntdekking, scans fan triemsystemen en git-geheimen, tagong ta de cloud SDK, GitHub API-operaasjes, en in propagaasjemotor dy't oare pakketten bewurket dy't de ûnderhâlder hat. Eins markearje StepSecurity en ReversingLabs beide in funksje dy't pakketten automatysk bywurket mei de kwea-aardige hook.

Útfiering op ynstallaasjetiid yn Shai-Hulud: Hoe npm-pakketten de wjirm triggerje

De oanfal begjint wannear postinstall fiert knooppunt út bondel.js. Op dit punt inisjalisearret it skript en ûntpakt it de wurkstatus yn it ûnthâld, wêrtroch't de basis leit foar de folsleine operaasje fan 'e wjirm.

Untdekking en rispinge

• De payload dumpt process.env en scant lokale bestannen op geheimen mei hege entropie en token-prefiksen. Derneist wreidet it dekking út troch TruffleHog út te fieren.
• It freget wolkmetadata-eindpunten om koartlibjende ynloggegevens te sammeljen. Bygelyks, ropt nei 169.254.169.254 op AWS of metadata.google.internal op GCP ferskine faak yn ynfekteare gastheren.
• Dêrom, elke fûne ynloggegevens wurde direkt brûkber om nije npm-pakketten te publisearjen of GitHub-workflows te pushen.

Exfiltration

• De wjirm makket in nije GitHub-repo mei de namme Shai Hulud en skriuwt in dûbele base64-kodearre data.json mei platfoarmdetails, omjouwingsdumps en geheimen. Lykas te sjen is, is dit lawaaierige gedrach maklik te spotten as ferdigeners witte wêr't se sykje moatte.
• It plant ek in GitHub Actions-workflow, faak op in tûke mei de namme shai-hulud, dat serialisearret ${{ toJSON(secrets) }} en pleatst de gegevens nei in statyske webhook. Fierder bliuwt dizze workflow bestean oant immen it aktyf fuorthellet.

Fersegeling

• Mei elke ûntdutsen npm-token listet de payload alle pakketten op dy't eigendom binne fan 'e kompromittearre ûnderhâlder. Dan hellet it elke tarball op, ynjektearret bundle.js en in postinstall-yngong, en publisearret it it pakket opnij.
• As gefolch kinne tsientallen ynfekteare pakketten binnen in pear oeren ferskine, wêrtroch't de eksploazjeradius oer it ekosysteem fermannichfâldige wurdt.

Persistinsje en bleatstelling

• De wjirm hâldt kweade workflows yn libben en, yn ferskate gefallen, makket privee repositories iepenbier mei in "-migraasje" efterheaksel. Alles byinoar soarget dit derfoar dat de oanfaller in fuot oan 'e grûn hâldt en gegevenslekkage maksimalisearret.

Notysje fan kaaideteksje
Dit ûngewoane gebrûk fan ${{ toJSON(secrets) }} yn Aksjes binne workflows seldsum. Dêrom, teams moatte it behannelje as in yndikator fan hege sinjalen tidens jachten.

Sanearre workflowpatroan wêr't jo nei sykje moatte

Dit ûngewoane gebrûk fan nei JSON (geheimen) yn Aksjes is in yndikator fan in heech sinjaal yn dit ynsidint.

Pseudo-koade foar propagaasje op heech nivo (feilich, beskriuwend)