Shai-Hulud: Mínítear an Péist Pacáistí npm

Tionchar Feidhmiúcháin Ionsaí Slabhra Soláthair Shai-Hulud

Tá Shai-Hulud fós gníomhach inniu. Luasghéadaíonn an péist seo an t-amlíne imbhuailte. Rud a thóg seachtainí le Tróiach tráth, tarlaíonn sé i gceann uaireanta an chloig anois. Mar thoradh air sin, tá an scaipeadh níos tapúla agus níos deacra a smachtú. Déanann sé dul chun cinn trí:

• Ag goid comharthaí foilsitheoireachta npm agus rúin GitHub.
• Ag athfhoilsiú é féin i bpacáistí npm eile.
• Ag cur sreafaí oibre GitHub Actions mailíseacha leis ar mhaithe le buanseasmhacht.

Cé air a ndéantar difear:

Bíonn aon fhoireann a shuiteálann pacáistí npm poiblí nochta. Ina theannta sin, bíonn ardriosca ag forbróirí a bhfuil comharthaí npm nó GitHub taisceáilte acu. Bíonn reathaithe CI a úsáideann rúin leathan-raoin leochaileach freisin.

Riosca gnó

Fásann tionchar an ghnó go tapa. Is féidir le comharthaí goidte cuntas a ghlacadh, pacáistí a fhuadach, agus fiú mí-úsáid scamall a bheith mar thoradh orthu. Ina theannta sin, bíonn sé níos deacra glanadh a dhéanamh de bharr leanúnachas i sreafaí oibre GitHub. Dá bhrí sin,, ní mór d’fhoirne déileáil le Shai-Hulud mar eachtra leanúnach, ní mar eachtra dúnta.

Conas a Oibríonn Ionsaí Slabhra Soláthair Shai-Hulud i bPacáistí npm

Cuspóirí agus spreagadh an ionsaitheora

Déantar an feachtas a bharrfheabhsú le haghaidh trí rud:

• Is é an chéad chuspóir ná dintiúir a ghoid ar scála mór ó ríomhairí glúine forbróirí agus ó ritheoirí CI. Áirítear leis seo comharthaí foilsitheoireachta npm, comharthaí GitHub, agus dintiúir scamall. Déanta na fírinne, deimhníonn anailísí iomadúla go ndéantar rúnda a bhailiú go córasach, amhail TruffleHog a rith agus críochphointí meiteashonraí scamall a cheistiú.
• Is é an dara cuspóir ná scaipthe go huathoibríoch trí mhí-úsáid a bhaint as cearta foilsitheoireachta cothabhálaithe atá i mbaol. Mar thoradh air sin, leathnaíonn greim amháin go tapa isteach i go leor, ós rud é go dtagann leaganacha nua ionfhabhtaithe de phacáistí eile chun cinn gan iarracht bhreise dhaonna.
• Is é an tríú cuspóir ná buan agus eisfhearadh go hiontaofa trí bhonneagar GitHub. Cruthaíonn ionsaitheoirí stór poiblí darb ainm “Shai-Hulud” le bun dúbailte64 sonraí.json, agus ina theannta sin, cuireann siad sreabhadh oibre ar bun a dhéanann sraithiú ${{ goJSON(rúin) }} agus postálann sé chuig webhook statach é.

I measc na dtorthaí is dócha tá rochtain fhadtéarmach ar chlárlanna agus ar chód foinse, gluaiseacht thapa cliathánach isteach i gcuntais scamall, agus an rogha an slabhra soláthair a úsáid mar arm breise. Léiríonn tuairisciú poiblí gur cuireadh stórtha príobháideacha ar ais chuig an bpobal le... “-imirce” iarmhír, rud a mhéadaíonn nochtadh sonraí agus móiminteam

Laistigh den Ualach Pála Shai-Hulud: bundle.js i bPacáistí npm

Seolann Shai-Hulud longa mar mór, pacáilte le Webpack agus mionchoigeartaithe go mór Comhad javascript (bundle.js, thart ar 3–3.7 MB) a fhorghníomhaíonn ó iar-shuiteáil crúca isteach pacáiste.jsonDá bhrí sin, Cuireann gach suiteáil an t-ualach oibre i ngníomh go huathoibríoch. Folaíonn an dearadh seo aitheantóirí, comhbhrúíonn sé sreabhadh rialaithe, agus brúnn sé an loighic go léir isteach i ndéantúsán aonair a fhorghníomhaítear le linn na suiteála. Deimhníonn anailísithe go seasta go bhfuil Webpack á phacáistiú, méid comhaid neamhghnách, agus forghníomhú ag am na suiteála.

Tréithe doiléire agus frith-anailíse a fheicfidh tú i samplaí:

• Graf modúil laghdaithe le huimhreacha aitheantóirí modúl, tráchtanna gann, agus sreabhadh rialaithe cothromaithe., Déanann an struchtúr seo athbhreithniú láimhe thar a bheith deacair.
• Teaghrán i bhfolach trí shraitheanna base64 agus cúntóirí tógála. Mar shampla, De ghnáth, bíonn ionchódú agus díchódú base64 arís agus arís eile le feiceáil timpeall ar ghnáthaimh eis-scagtha.
• Seolta dinimiciúil trí meastpatrúin -stíle agus comhlachtaí feidhme ginte, rud a chuireann ar chumas an chóid iompar a athrú ag am rite.
• Scagadh OS chun rogha a thabhairt do fhorghníomhú Linux agus macOS go háirithe ar ríomhairí CI agus ríomhairí glúine forbróirí.

Ó thaobh feidhme de, tá an pacáiste modúlach. Déanann na scríbhinní cur síos ar mhodúil le haghaidh fionnachtana OS, scananna córas comhad agus rúnda git, rochtain SDK scamall, oibríochtaí API GitHub, agus inneall iomadúcháin a chuireann pacáistí eile faoi úinéireacht an chothóra in eagar. Déanta na fírinne, leagann StepSecurity agus ReversingLabs béim ar fheidhm a nuashonraíonn pacáistí go huathoibríoch leis an crúca mailíseach.

Forghníomhú Am Suiteála i Shai-Hulud: Conas a Spreagann Pacáistí npm an Péist

Tosaíonn an ionsaí nuair ritheann nód iar-shuiteála bundle.js. Ag an bpointe seo, déanann an script an staid oibre sa chuimhne a thosú agus a dhíphacáil, rud a leagann an chéim le haghaidh oibriú iomlán an phéist.

Fionnachtain agus fómhar

• Déanann an t-ualach dumpáil ar process.env agus scanann sé comhaid áitiúla le haghaidh rúin ard-eantrópachta agus réimíreanna comharthaí. Ina theannta sin, leathnaíonn sé clúdach trí TruffleHog a rith.
• Déanann sé fiosrúcháin ar chríochphointí meiteashonraí scamall chun dintiúir ghearrthéarmacha a bhailiú. Mar shampla, glaonna chuig 169.254.169.254 ar AWS nó metadata.google.internal ar GCP is minic a bhíonn siad le feiceáil in óstaigh ionfhabhtaithe.
• Dá bhrí sin, Is féidir aon dintiúir a fhaightear a úsáid láithreach chun pacáistí npm nua a fhoilsiú nó sreafaí oibre GitHub a bhrú.

Eis-scagadh

• Cruthaíonn an péist stór nua GitHub darb ainm Shai Hulud agus scríobhann sé cód dúbailte base64 data.json le sonraí ardáin, dumpálacha timpeallachta, agus rúin. Mar is léir, is furasta an t-iompar glórach seo a fheiceáil má tá a fhios ag cosantóirí cá háit le breathnú.
• Cuireann sé sreabhadh oibre GitHub Actions ar fáil freisin, go minic ar bhrainse darb ainm shai-hulud, a dhéanann sraithuimhir ${{ toJSON(secrets) }} agus postálann sé na sonraí chuig webhook statach. Ina theannta sin, leanann an sreabhadh oibre seo ar aghaidh go dtí go mbaintear é go gníomhach.

Iomadú

• Le haon chomhartha npm a aimsítear, liostáileann an t-ualach gach pacáiste atá faoi úinéireacht an chothaitheora a ndearnadh comhréiteach air. Ansin, faigheann sé gach tarball, insteallann sé bundle.js agus iontráil iar-suite, agus athfhoilsíonn sé an pacáiste.
• Mar thoradh air sin, is féidir le mórán pacáistí ionfhabhtaithe teacht chun cinn i gceann cúpla uair an chloig, rud a iolraíonn ga pléasctha ar fud an éiceachórais.

Buanseasmhacht agus nochtadh

• Coinníonn an péist sreabhanna oibre mailíseacha beo agus, i roinnt cásanna, cuireann sí stórtha príobháideacha ar fáil don phobal le “-imirce” iarmhír. Tríd is tríd, cinntíonn sé seo go gcoinníonn an t-ionsaitheoir greim agus go n-uasmhéadaíonn sé sceitheadh ​​sonraí.

Nóta braite eochrach
An úsáid neamhghnách seo de ${{ toJSON(secrets) }} Is annamh a bhíonn sreafaí oibre i nGníomhartha. Dá bhrí sin, ba chóir do fhoirne é a chóireáil mar tháscaire ardchomhartha le linn seilge.

Patrún sreabha oibre sláintithe ar cheart duit cuardach a dhéanamh air

An úsáid neamhghnách seo de chun JSON (rúin) Is táscaire ardchomhartha é in Actions sa teagmhas seo.

Cód bréagach iomadúcháin ardleibhéil (sábháilte, tuairisciúil)