Shai-Hulud: Explicación do verme de paquetes npm

Impacto executivo do ataque á cadea de subministración de Shai-Hulud

Shai-Hulud aínda está activo hoxe en día. Este verme acelera a liña temporal do impacto. O que antes tardaba semanas cun troiano agora desenvólvese en horas. Como resultado, a propagación é máis rápida e máis difícil de conter. Avanza por:

• Roubar tokens de publicación de npm e segredos de GitHub.
• Republicándose noutros paquetes npm.
• Engadindo fluxos de traballo de accións de GitHub maliciosos para a persistencia.

Quen está afectado:

Calquera equipo que instale paquetes públicos npm está exposto. Ademais, os desenvolvedores con tokens npm ou GitHub almacenados en caché corren un alto risco. Os executores de CI que usan segredos de amplo alcance tamén son vulnerables.

Risco empresarial

O impacto empresarial medra rapidamente. Os tokens roubados poden levar á apropiación de contas, ao secuestro de paquetes e mesmo ao mal uso da nube. Ademais, a persistencia nos fluxos de traballo de GitHub dificulta a súa limpeza. Polo tanto,, os equipos deben tratar Shai-Hulud como un incidente en curso, non como un incidente pechado.

Como funciona o ataque á cadea de subministración Shai-Hulud nos paquetes npm

Obxectivos e motivos do atacante

A campaña optimízase para tres cousas:

• O primeiro obxectivo é roubar credenciais a escala desde portátiles de desenvolvedores e executores de CI. Isto inclúe tokens de publicación npm, tokens de GitHub e credenciais na nube. De feito, varias análises confirman a recollida sistemática de segredos, como a execución de TruffleHog e a consulta de puntos finais de metadatos na nube.
• O segundo obxectivo é propagar automaticamente abusando dos dereitos de publicación dos mantedores comprometidos. Como resultado, un punto de apoio expándese rapidamente a moitos, xa que aparecen novas versións infectadas doutros paquetes sen esforzo humano adicional.
• O terceiro obxectivo é persisten e exfiltran de forma fiable a través da infraestrutura de GitHub. Os atacantes crean un repositorio público chamado "Shai-Hulud" cunha dobre base64 datos.jsone, ademais, implantan un fluxo de traballo que serializa ${{ toJSON(segredos) }} e publícao nun webhook estático.

A probable recompensa inclúe acceso a longo prazo aos rexistros e ao código fonte, movemento lateral rápido cara ás contas na nube e a opción de armar aínda máis a cadea de subministración. Os informes públicos mostran que os repositorios privados se converteron en público cun "-migración" sufixo, que aumenta a exposición e o impulso dos datos

Dentro da carga útil de Shai-Hulud: paquete.js en paquetes npm

Shai-Hulud envíase como un grandes, agrupados en Webpack e fortemente minificados Ficheiro JavaScript (paquete.js, uns 3–3.7 MB) que se executa desde un postinstalación enganchar paquete.jsonEn consecuencia, Cada instalación activa a carga útil automaticamente. Este deseño oculta os identificadores, comprime o fluxo de control e empurra toda a lóxica nun único artefacto que se executa durante a instalación. Os analistas confirman sistematicamente a agrupación de Webpack, o tamaño de ficheiro inusual e a execución no momento da instalación.

Trazos de ofuscación e antianálise que verás nas mostras:

• Gráfico de módulos minimizado con IDs de módulo numéricos, comentarios dispersos e fluxo de control aplanado. Ademais, Esta estrutura fai que a revisión manual sexa extremadamente difícil.
• Ocultación de cadeas mediante capas base64 e axudantes de construción. Por exemplo, A codificación e descodificación base64 repetidas adoitan aparecer arredor das rutinas de exfiltración.
• Envío dinámico a través evalpatróns de estilo e corpos de función xerados, o que permite que o código cambie de comportamento en tempo de execución.
• Filtrado do sistema operativo preferir a execución de Linux e macOS, especialmente en executadores de CI e portátiles de desenvolvedores.

Desde un punto de vista funcional, o conxunto é modular. As descricións describen módulos para o descubrimento de sistemas operativos, análises de segredos de git e do sistema de ficheiros, acceso ao SDK na nube, operacións da API de GitHub e un motor de propagación que edita outros paquetes que posúe o responsable do mantemento. De feito, StepSecurity e ReversingLabs destacan unha función que actualiza automaticamente os paquetes co hook malicioso.

Execución en tempo de instalación en Shai-Hulud: como os paquetes npm activan o verme

O ataque comeza cando nó de execucións posteriores á instalación paquete.js. Neste punto, o script inicializa e desempaqueta o estado de traballo na memoria, preparando o escenario para o funcionamento completo do verme.

Descubrimento e colleita

• A carga útil descarga process.env e analiza os ficheiros locais en busca de segredos de alta entropía e prefixos de tokens. Ademais, amplía a cobertura executando TruffleHog.
• Consulta os puntos finais de metadatos da nube para recoller credenciais de curta duración. Por exemplo, a chamadas a 169.254.169.254 en AWS ou metadata.google.internal en GCP aparecen a miúdo en hóspedes infectados.
• En consecuencia, Calquera credencial atopada pódese usar inmediatamente para publicar novos paquetes npm ou enviar fluxos de traballo de GitHub.

Exfiltración

• O verme crea un novo repositorio de GitHub chamado Shai Hulud e escribe unha codificación dobre en base64 data.json con detalles da plataforma, volcados do entorno e segredos. Como se pode ver, este comportamento ruidoso é doado de detectar se os defensores saben onde buscar.
• Tamén planta un fluxo de traballo de Accións de GitHub, a miúdo nunha rama chamada shai-hulud, que serializa ${{ toJSON(secrets) }} e publica os datos nun webhook estático. Ademais, este fluxo de traballo persiste ata que alguén o elimina activamente.

Propagación

• Con calquera token npm descuberto, a carga útil enumera todos os paquetes propiedade do responsable do mantemento comprometido. Despois, obtén cada tarball, inxecta bundle.js e unha entrada de postinstalación e volve publicar o paquete.
• Como resultado, poden aparecer ducias de paquetes infectados en cuestión de horas, multiplicando o radio da explosión en todo o ecosistema.

Persistencia e exposición

• O verme mantén vivos os fluxos de traballo maliciosos e, en varios casos, converte os repositorios privados en públicos cun "-migración" sufixo. En conxunto, isto garante que o atacante manteña un punto de apoio e maximice a fuga de datos.

Nota de detección clave
Este uso inusual de ${{ toJSON(secrets) }} nos fluxos de traballo de Accións é pouco frecuente. Polo tanto, Os equipos deberían tratalo como un indicador de sinal alto durante as cacerías.

Patrón de fluxo de traballo saneado que debes buscar

Este uso inusual de a JSON(segredos) en Accións é un indicador de sinal alto neste incidente.

Pseudocódigo de propagación de alto nivel (seguro, descritivo)