શાઈ-હુલુદ: એનપીએમ પેકેજો વિશેના કૃમિનો ખુલાસો

શાઈ-હુલુદ સપ્લાય ચેઇન હુમલાની કાર્યકારી અસર

શાઈ-હુલુદ આજે પણ સક્રિય છે. આ કીડો અસર સમયરેખાને ઝડપી બનાવે છે. જે ટ્રોજન સાથે અઠવાડિયા લાગતું હતું તે હવે કલાકોમાં ખુલી જાય છે. પરિણામે, ફેલાવો ઝડપી અને રોકવો મુશ્કેલ છે. તે આના દ્વારા આગળ વધે છે:

• npm પબ્લિશ ટોકન્સ અને GitHub રહસ્યોની ચોરી.
• અન્ય npm પેકેજોમાં પોતાને ફરીથી પ્રકાશિત કરી રહ્યું છે.
• ટકાઉપણું માટે દૂષિત GitHub ક્રિયાઓ વર્કફ્લો ઉમેરી રહ્યા છીએ.

કોને અસર થાય છે:

કોઈપણ ટીમ જે પબ્લિક npm પેકેજો ઇન્સ્ટોલ કરે છે તે જોખમમાં મુકાય છે. વધુમાં, કેશ્ડ npm અથવા GitHub ટોકન્સ ધરાવતા ડેવલપર્સ ઉચ્ચ જોખમનો સામનો કરે છે. બ્રોડ-સ્કોપ્ડ સિક્રેટ્સનો ઉપયોગ કરતા CI રનર્સ પણ સંવેદનશીલ હોય છે.

વ્યવસાયિક જોખમ

વ્યવસાયિક અસર ઝડપથી વધે છે. ચોરાયેલા ટોકન્સ એકાઉન્ટ ટેકઓવર, પેકેજ હાઇજેકિંગ અને ક્લાઉડ દુરુપયોગ તરફ દોરી શકે છે. વધુમાં, GitHub વર્કફ્લોમાં સતત રહેવાથી તેને સાફ કરવું મુશ્કેલ બને છે. તેથી., ટીમોએ શાઈ-હુલુદને એક ચાલુ ઘટના તરીકે ગણવી જોઈએ, બંધ ઘટના તરીકે નહીં.

npm પેકેજોમાં શાઈ-હુલુદ સપ્લાય ચેઇન એટેક કેવી રીતે કાર્ય કરે છે

હુમલાખોરના ઉદ્દેશ્યો અને હેતુ

આ ઝુંબેશ ત્રણ બાબતો માટે શ્રેષ્ઠ બનાવે છે:

• પહેલો ઉદ્દેશ્ય એ છે કે મોટા પાયે ઓળખપત્રોની ચોરી કરવી ડેવલપર લેપટોપ અને CI રનર્સ તરફથી. આમાં npm પબ્લિશ ટોકન્સ, GitHub ટોકન્સ અને ક્લાઉડ ઓળખપત્રોનો સમાવેશ થાય છે. હકીકતમાં, બહુવિધ વિશ્લેષણ વ્યવસ્થિત ગુપ્ત લણણીની પુષ્ટિ કરે છે, જેમ કે ટ્રફલહોગ ચલાવવું અને ક્લાઉડ મેટાડેટા એન્ડપોઇન્ટ્સને ક્વેરી કરવી.
• બીજો ઉદ્દેશ્ય છે કે આપમેળે પ્રચાર કરો ચેડા થયેલા જાળવણીકારોના પ્રકાશન અધિકારોનો દુરુપયોગ કરીને. પરિણામે, એક પક્કડ ઝડપથી ઘણામાં વિસ્તરે છે, કારણ કે અન્ય પેકેજોના નવા ચેપગ્રસ્ત સંસ્કરણો વધારાના માનવ પ્રયત્નો વિના દેખાય છે.
• ત્રીજો ઉદ્દેશ્ય છે કે વિશ્વસનીય રીતે ટકી રહે છે અને બહાર નીકળે છે GitHub ઈન્ફ્રાસ્ટ્રક્ચર દ્વારા. હુમલાખોરો ડબલ બેઝ64 સાથે "શાઈ-હુલુદ" નામનો પબ્લિક રેપો બનાવે છે. ડેટા.જેસન, અને વધુમાં તેઓ એક વર્કફ્લો રોપે છે જે શ્રેણીબદ્ધ કરે છે ${{ ટુજેએસઓન(રહસ્યો) }} અને તેને સ્ટેટિક વેબહૂક પર પોસ્ટ કરે છે.

સંભવિત લાભમાં રજિસ્ટ્રી અને સોર્સ કોડની લાંબા ગાળાની ઍક્સેસ, ક્લાઉડ એકાઉન્ટ્સમાં ઝડપી બાજુની હિલચાલ અને સપ્લાય ચેઇનને વધુ હથિયાર બનાવવાનો વિકલ્પ શામેલ છે. જાહેર રિપોર્ટિંગ બતાવે છે કે ખાનગી રિપોઝીટરી કંપનીઓને જાહેરમાં ફ્લિપ કરવામાં આવી છે. "-સ્થળાંતર" પ્રત્યય, જે ડેટા એક્સપોઝર અને ગતિ વધારે છે

શાઈ-હુલુદ પેલોડની અંદર: બંડલ.જેએસ npm પેકેજોમાં

શાઈ-હુલુદ એક તરીકે રજૂ કરે છે મોટું, વેબપેક-બંડલ્ડ અને ભારે મિનિફાઇડ જાવાસ્ક્રિપ્ટ ફાઇલ (બંડલ.જેએસ, લગભગ 3–3.7 MB) જે a થી અમલમાં આવે છે પોસ્ટઇન્સ્ટોલ જોડવું પેકેજ.જેસનપરિણામે, દરેક ઇન્સ્ટોલેશન આપમેળે પેલોડને ટ્રિગર કરે છે. આ ડિઝાઇન ઓળખકર્તાઓને છુપાવે છે, નિયંત્રણ પ્રવાહને સંકુચિત કરે છે અને બધા તર્કને એક જ આર્ટિફેક્ટમાં ધકેલે છે જે ઇન્સ્ટોલેશન દરમિયાન એક્ઝિક્યુટ થાય છે. વિશ્લેષકો સતત વેબપેક બંડલિંગ, અસામાન્ય ફાઇલ કદ અને ઇન્સ્ટોલ-ટાઇમ એક્ઝિક્યુશનની પુષ્ટિ કરે છે.

નમૂનાઓમાં તમને જોવા મળશે તે અસ્પષ્ટતા અને વિશ્લેષણ વિરોધી લક્ષણો:

• લઘુત્તમ મોડ્યુલ ગ્રાફ આંકડાકીય મોડ્યુલ ID, છૂટાછવાયા ટિપ્પણીઓ અને ફ્લેટન્ડ કંટ્રોલ ફ્લો સાથે. વધુમાં, આ માળખું મેન્યુઅલ સમીક્ષાને અત્યંત મુશ્કેલ બનાવે છે.
• સ્ટ્રિંગ છુપાવી રહ્યું છે base64 સ્તરો અને બાંધકામ સહાયકો દ્વારા. ઉદાહરણ તરીકે, પુનરાવર્તિત બેઝ64 એન્કોડિંગ અને ડીકોડિંગ સામાન્ય રીતે એક્સફિલ્ટ્રેશન રૂટિનની આસપાસ દેખાય છે.
• ગતિશીલ રવાનગી દ્વારા ઇવલ-સ્ટાઇલ પેટર્ન અને જનરેટ કરેલ ફંક્શન બોડી, તેથી કોડને રનટાઇમ પર વર્તન બદલવા માટે સક્ષમ બનાવે છે.
• ઓએસ ફિલ્ટરિંગ ખાસ કરીને CI રનર્સ અને ડેવલપર લેપટોપ પર Linux અને macOS એક્ઝિક્યુશનને પ્રાધાન્ય આપવું.

કાર્યાત્મક દ્રષ્ટિએ, બંડલ મોડ્યુલર છે. રાઇટઅપ્સ OS ડિસ્કવરી, ફાઇલસિસ્ટમ અને ગિટ સિક્રેટ સ્કેન, ક્લાઉડ SDK એક્સેસ, ગિટહબ API ઓપરેશન્સ અને એક પ્રોપગેશન એન્જિન માટેના મોડ્યુલોનું વર્ણન કરે છે જે જાળવણીકર્તાની માલિકીના અન્ય પેકેજોને સંપાદિત કરે છે. હકીકતમાં, સ્ટેપસિક્યોરિટી અને રિવર્સિંગલેબ્સ બંને એક ફંક્શનને હાઇલાઇટ કરે છે જે દૂષિત હૂક સાથે પેકેજોને આપમેળે અપડેટ કરે છે.

શાઈ-હુલુદમાં ઇન્સ્ટોલ-ટાઇમ એક્ઝેક્યુશન: npm પેકેજો કેવી રીતે કૃમિને ઉત્તેજિત કરે છે

હુમલો ત્યારે શરૂ થાય છે જ્યારે પોસ્ટઇન્સ્ટોલ નોડ ચલાવે છે બંડલ.જેએસ. આ બિંદુએ, સ્ક્રિપ્ટ મેમરીમાં કાર્યકારી સ્થિતિને પ્રારંભ કરે છે અને અનપેક કરે છે, જે કૃમિના સંપૂર્ણ કાર્ય માટે સ્ટેજ સેટ કરે છે.

શોધ અને લણણી

• પેલોડ process.env ને ડમ્પ કરે છે અને ઉચ્ચ-એન્ટ્રોપી રહસ્યો અને ટોકન ઉપસર્ગ માટે સ્થાનિક ફાઇલોને સ્કેન કરે છે. વધુમાં, તે TruffleHog ચલાવીને કવરેજને વિસ્તૃત કરે છે.
• તે ટૂંકા ગાળાના ઓળખપત્રો એકત્રિત કરવા માટે ક્લાઉડ મેટાડેટા એન્ડપોઇન્ટ્સની પૂછપરછ કરે છે. દાખલા તરીકે, ને બોલાવે છે 169.254.169.254 AWS પર અથવા metadata.google.internal GCP પર ઘણીવાર ચેપગ્રસ્ત યજમાનોમાં દેખાય છે.
• પરિણામે, કોઈપણ ઓળખપત્ર મળે તો તે નવા npm પેકેજો પ્રકાશિત કરવા અથવા GitHub વર્કફ્લોને આગળ ધપાવવા માટે તરત જ ઉપયોગી થઈ જાય છે.

એક્સફિલ્ટરેશન

• આ કૃમિ એક નવો GitHub રેપો બનાવે છે જેનું નામ છે શાઈ હુલુદ અને ડબલ બેઝ64-એન્કોડેડ લખે છે data.json પ્લેટફોર્મ વિગતો, પર્યાવરણીય ડમ્પ અને રહસ્યો સાથે. જોઈ શકાય છે તેમ, જો ડિફેન્ડર્સ જાણતા હોય કે ક્યાં જોવું તો આ ઘોંઘાટીયા વર્તનને સરળતાથી ઓળખી શકાય છે.
• તે GitHub Actions વર્કફ્લો પણ પ્લાન્ટ કરે છે, ઘણીવાર નામની શાખા પર શાય-હુલુદ, જે શ્રેણીબદ્ધ કરે છે ${{ toJSON(secrets) }} અને ડેટાને સ્ટેટિક વેબહૂક પર પોસ્ટ કરે છે. વધુમાં, આ વર્કફ્લો ત્યાં સુધી ચાલુ રહે છે જ્યાં સુધી કોઈ તેને સક્રિય રીતે દૂર ન કરે.

પ્રચાર

• કોઈપણ શોધાયેલ npm ટોકન સાથે, પેલોડ ચેડા થયેલા જાળવણીકારની માલિકીના બધા પેકેજોની ગણતરી કરે છે. પછી, તે દરેક ટારબોલ મેળવે છે, bundle.js અને પોસ્ટઇન્સ્ટોલ એન્ટ્રી ઇન્જેક્ટ કરે છે, અને પેકેજને ફરીથી પ્રકાશિત કરે છે.
• પરિણામે, થોડા કલાકોમાં ડઝનબંધ ચેપગ્રસ્ત પેકેજો દેખાઈ શકે છે, જે સમગ્ર ઇકોસિસ્ટમમાં બ્લાસ્ટ ત્રિજ્યાને ગુણાકાર કરે છે.

દ્રઢતા અને સંપર્ક

• આ કૃમિ દૂષિત વર્કફ્લોને જીવંત રાખે છે અને, ઘણા કિસ્સાઓમાં, ખાનગી રિપોઝીટરી સ્ટોર્સને જાહેરમાં ફેરવે છે "-સ્થળાંતર" પ્રત્યય. એકંદરે, આ ખાતરી કરે છે કે હુમલાખોર પોતાનો પગ જમાવી રાખે છે અને ડેટા લીકેજને મહત્તમ કરે છે.

કી ડિટેક્શન નોટ
આ અસામાન્ય ઉપયોગ ${{ toJSON(secrets) }} ઍક્શનમાં વર્કફ્લો દુર્લભ છે. તેથી, શિકાર દરમિયાન ટીમોએ તેને ઉચ્ચ-સિગ્નલ સૂચક તરીકે ગણવું જોઈએ.

સેનિટાઇઝ્ડ વર્કફ્લો પેટર્ન જે તમારે શોધવી જોઈએ

આ અસામાન્ય ઉપયોગ થી JSON(રહસ્યો) આ ઘટનામાં ઇન એક્શન્સ એક ઉચ્ચ-સિગ્નલ સૂચક છે.

ઉચ્ચ-સ્તરીય પ્રચાર સ્યુડો-કોડ (સલામત, વર્ણનાત્મક)