Shai-Hulud: Bayanin Kunshin npm na Tsutsa

Tasirin Shugabanni kan Harin Sarkar Samar da Kayayyaki na Shai-Hulud

Shai-Hulud har yanzu yana aiki a yau. Wannan tsutsa yana hanzarta lokacin tasirin. Abin da ya ɗauki makonni da yawa tare da trojan yanzu yana faruwa cikin awanni. Sakamakon haka, Yaɗuwar ta fi sauri kuma ta fi wahalar ɗauka. Yana ci gaba ta hanyar:

• Satar alamun bugawa na npm da sirrin GitHub.
• Sake buga kansa cikin wasu fakitin npm.
• Ƙara ayyukan GitHub Actions masu cutarwa don juriya.

Wanene abin ya shafa:

Duk wata ƙungiyar da ta shigar da fakitin npm na jama'a tana fuskantar fallasa. Bugu da ƙari, masu haɓaka software tare da alamun npm ko GitHub da aka cached suna fuskantar babban haɗari. Masu gudu na CI waɗanda ke amfani da sirrin da aka fayyace su suma suna cikin haɗari.

Hadarin kasuwanci

Tasirin kasuwanci yana ƙaruwa da sauri. Alamun da aka sata na iya haifar da karɓar asusu, satar fakiti, har ma da yin amfani da gajimare ba bisa ƙa'ida ba. Bugu da ƙari, juriya a cikin ayyukan GitHub yana sa ya yi wahala a tsaftace shi. Saboda haka,, dole ne ƙungiyoyi su ɗauki Shai-Hulud a matsayin wani lamari da ke ci gaba da faruwa, ba wani abu da aka rufe ba.

Yadda Harin Sarkar Shai-Hulud ke Aiki a cikin Kunshin npm

Manufofin da kuma manufar mai kai hari

Yaƙin neman zaɓen ya inganta abubuwa uku:

• Manufar farko ita ce satar takardun shaida a sikelin daga kwamfyutocin haɓaka da masu gudu na CI. Wannan ya haɗa da alamun bugawa na npm, alamun GitHub, da takaddun shaida na girgije. A zahiri, bincike da yawa suna tabbatar da tattara bayanan sirri cikin tsari, kamar gudanar da TruffleHog da bincika ƙarshen bayanan girgije.
• Manufofi na biyu shine yada ta atomatik ta hanyar cin zarafin haƙƙin bugawa na masu kula da shi da aka yi wa katsalandan. Sakamakon haka, kafa ɗaya ta faɗaɗa cikin sauri zuwa da yawa, tunda sabbin nau'ikan wasu fakitin da suka kamu da cutar suna bayyana ba tare da ƙarin ƙoƙarin ɗan adam ba.
• Manufofi na uku shine dagewa da kuma fitar da ruwa cikin aminci ta hanyar kayayyakin more rayuwa na GitHub. Masu kai hari suna ƙirƙirar wani wurin adana bayanai na jama'a mai suna "Shai-Hulud" tare da tushe biyu64 bayanai.json, kuma ban da haka suna dasa tsarin aiki wanda ke tsara ${{ toJSON(sirri) }} kuma ya sanya shi a kan wani ƙugiya mai tsauri.

Sakamakon da ake tsammanin zai iya samu ya haɗa da samun damar yin rijista da lambar tushe na tsawon lokaci, saurin motsi a gefe zuwa asusun girgije, da kuma zaɓin ƙara amfani da sarkar samar da kayayyaki. Rahoton jama'a ya nuna cewa an mayar da ma'ajiyar masu zaman kansu ga jama'a da "-ƙaura" ƙarin bayani, wanda ke ƙara yawan bayanai da saurin amsawa

A Cikin Kayan Aikin Shai-Hulud: bugu.js Fakitin npm

Shai-Hulud ya kasance kamar babba, Webpack-an haɗa shi kuma an rage shi sosai Fayil ɗin JavaScript (bugu.js, kimanin 3–3.7 MB) wanda ke aiki daga wani postinstall shiga ciki fakamari.jsonSakamakon haka, Kowace shigarwa tana haifar da nauyin da aka biya ta atomatik. Wannan ƙira tana ɓoye abubuwan ganowa, tana matse kwararar sarrafawa, kuma tana tura duk dabaru zuwa wani abu guda ɗaya da ke aiki yayin shigarwa. Masu sharhi koyaushe suna tabbatar da haɗa Webpack, girman fayil ɗin da ba a saba gani ba, da aiwatar da lokacin shigarwa.

Za ku ga halaye na ɓoyewa da hana nazarin abubuwa a cikin misalai:

• Jadawalin module mai ƙarancin girma tare da ID na module na lambobi, sharhi kaɗan, da kuma kwararar sarrafawa mai faɗi. Bugu da ƙari,, Wannan tsari yana sa bita da hannu ta yi matuƙar wahala.
• Ɓoye igiya ta hanyar tushe 64 yadudduka da masu taimakawa gini. Misali, Maimaita tsarin rubutu da kuma dikodi mai tushe64 yawanci yakan bayyana ne a kusa da tsarin fitar da ruwa.
• Isar da saƙo mai ƙarfi saboda eval-tsarin tsari da kuma samar da jikin ayyuka, don haka yana ba da damar lambar ta canza hali a lokacin aiki.
• Matatar OS don fifita aiwatar da Linux da macOS musamman akan masu gudu na CI da kwamfyutocin haɓaka.

Daga kusurwar aiki, kunshin yana da tsari. Rubuce-rubucen sun bayyana kayayyaki don gano OS, tsarin fayil da na'urorin binciken sirri na git, damar shiga SDK na girgije, ayyukan GitHub API, da injin watsawa wanda ke gyara wasu fakitin da mai kula da shi ke da su. A zahiri, StepSecurity da ReversingLabs duka suna nuna aikin da ke sabunta fakiti ta atomatik tare da mummunan ƙugiya.

Aiwatar da Lokacin Shigarwa a Shai-Hulud: Yadda Fakitin npm Ke Faɗaɗa Tsutsar

Harin ya fara ne lokacin da node yana gudana bayan shigarwa bugu.js. A wannan lokacin, rubutun yana farawa kuma yana buɗe yanayin aiki a cikin ƙwaƙwalwar ajiya, yana saita matakin cikakken aikin tsutsa.

Ganowa da girbi

• Tsarin dumps na payload yana duba fayilolin gida don gano sirrin entropy masu yawa da kuma prefixes na tokens. Bugu da ƙari, yana faɗaɗa ɗaukar hoto ta hanyar gudanar da TruffleHog.
• Yana bincika ƙarshen bayanan metadata na girgije don tattara takaddun shaida na ɗan gajeren lokaci. Alal misali, kira zuwa 169.254.169.254 akan AWS ko metadata.google.internal akan GCP sau da yawa yana bayyana a cikin masu kamuwa da cutar.
• Sanadiyar haka ne, Duk wani takardar shaidar da aka samu zai zama mai amfani nan take don buga sabbin fakitin npm ko tura ayyukan GitHub.

Exfiltration

• Tsutsar ta ƙirƙiri sabon wurin adana bayanai na GitHub mai suna Shai Hulud kuma yana rubuta tushen biyu mai lamba 64 data.json tare da cikakkun bayanai game da dandamali, wuraren zubar da shara, da sirrika. Kamar yadda ake gani, wannan hayaniyar tana da sauƙin ganewa idan masu kare sun san inda za su duba.
• Hakanan yana dasa tsarin aiki na GitHub Actions, sau da yawa akan reshe mai suna shai-hulud, wanda ke ƙara jerin ${{ toJSON(secrets) }} kuma yana aika bayanan zuwa ga wani ƙugiya mai tsauri. Bugu da ƙari, wannan aikin yana ci gaba har sai wani ya cire shi da ƙarfi.

Yaduwa

• Da kowace alama ta npm da aka gano, nauyin da aka biya yana lissafa duk fakitin da mai kula da abin ya shafa ya mallaka. Sannan, yana ɗaukar kowace tarball, yana saka bundle.js da shigarwar bayan shigarwa, sannan ya sake buga fakitin.
• Sakamakon haka, tarin ƙwayoyin cuta da suka kamu da cutar na iya bayyana cikin 'yan awanni kaɗan, wanda hakan ke ninka radius ɗin fashewar a cikin yanayin halittu.

Juriya da fallasa

• Tsutsar tana ci gaba da rayuwa da ayyukan da ba su da kyau, kuma a lokuta da yawa, tana mayar da ajiyar bayanan sirri ga jama'a ta hanyar "-ƙaura" Karin bayani. Gabaɗaya, wannan yana tabbatar da cewa maharin yana riƙe da matsayi kuma yana ƙara yawan ɗigon bayanai.

Bayanin gano maɓalli
Amfanin wannan baƙon abu ne ${{ toJSON(secrets) }} a cikin Ayyukan aiki ba kasafai ake samunsa ba. Saboda haka, ƙungiyoyi ya kamata su ɗauke shi a matsayin alamar alama mai ƙarfi yayin farauta.

Tsarin aiki mai tsabta wanda ya kamata ku nema

Amfanin wannan baƙon abu ne to JSON(sirri) a cikin Actions alama ce mai nuna alama mai girma a cikin wannan lamari.

Babban lambar karya ta yaɗawa (amintacce, mai bayani)