ʻO Shai-Hulud: Ka wehewehe ʻana i ka ilo pūʻolo npm

Ka Hopena Hoʻokō o ka Hoʻouka Kaulahao Lako Shai-Hulud

Ke hana mau nei ʻo Shai-Hulud i kēia lā. Hoʻolalelale kēia ilo i ka manawa hopena. ʻO ka mea i hala i nā pule me kahi trojan i kēia manawa e wehe ʻia i loko o nā hola. ʻO ka hopena, ʻoi aku ka wikiwiki o ka laha ʻana a ʻoi aku ka paʻakikī o ka kāohi ʻana. Ke holomua nei ia ma:

• Ke ʻaihue nei i nā hōʻailona hoʻopuka npm a me nā mea huna GitHub.
• Ke hoʻopuka hou nei iā ia iho i loko o nā pūʻolo npm ʻē aʻe.
• Ke hoʻohui nei i nā kahe hana GitHub Actions ʻino no ka hoʻomau.

ʻO wai ka mea i hoʻopilikia ʻia:

Ua hōʻike ʻia kēlā me kēia hui e hoʻokomo i nā pūʻolo npm lehulehu. Eia kekahi, ke kū nei nā mea hoʻomohala me nā hōʻailona npm cache a i ʻole GitHub i ka pilikia nui. He nāwaliwali nō hoʻi nā mea holo CI e hoʻohana ana i nā mea huna ākea.

Ka pilikia ʻoihana

Piʻi koke ka hopena o ka ʻoihana. Hiki i nā hōʻailona i ʻaihue ʻia ke alakaʻi i ka lawe ʻana i ka moʻokāki, ka hao ʻana i nā pūʻolo, a me ka hoʻohana hewa ʻana i ke ao. Eia kekahi, ʻo ka hoʻomau ʻana i nā kahe hana GitHub e paʻakikī ai ka hoʻomaʻemaʻe. No laila, pono nā kime e mālama iā Shai-Hulud ma ke ʻano he hanana e hoʻomau nei, ʻaʻole ia he mea i pani ʻia.

Pehea e hana ai ka Shai-Hulud Supply Chain Attack i nā pūʻolo npm

Nā pahuhopu a me ke kumu o ka mea hoʻouka

Hoʻomaikaʻi ka hoʻolaha no ʻekolu mau mea:

• ʻO ka pahuhopu mua ka ʻaihue i nā palapala hōʻoia ma ka nui mai nā kamepiula lawe lima a me nā mea holo CI. Hoʻokomo pū kēia me nā hōʻailona hoʻopuka npm, nā hōʻailona GitHub, a me nā hōʻoia ao. ʻO ka ʻoiaʻiʻo, ua hōʻoia nā loiloi he nui i ka ʻohi huna ʻōnaehana, e like me ka holo ʻana iā TruffleHog a me ka nīnau ʻana i nā hopena metadata ao.
• ʻO ka lua o ka pahuhopu, ʻo ia ka hoʻolaha aunoa ma ka hoʻomāinoino ʻana i nā kuleana hoʻopuka o nā mea mālama i hoʻopilikia ʻia. ʻO ka hopena, hoʻonui koke kekahi wāwae i nā mea he nui, ʻoiai e ʻike ʻia nā mana hou o nā pūʻolo ʻē aʻe me ka ʻole o ka hoʻoikaika hou ʻana o ke kanaka.
• ʻO ke kolu o ka pahuhopu, ʻo ia ka hoʻomau a hoʻokuʻu i waho me ka hilinaʻi ma o ke kahua ʻo GitHub. Hoʻokumu nā mea hoʻouka i kahi repo lehulehu i kapa ʻia ʻo "Shai-Hulud" me kahi base64 pālua ʻikepili.json, a eia kekahi, kanu lākou i kahi kahe hana e hoʻopaʻa ana i nā serializes ${{ toJSON(nā mea huna) }} a hoʻouna iā ia i kahi webhook paʻa.

ʻO ka uku kūpono e pili ana i ke komo lōʻihi i nā hoʻopaʻa inoa a me ke code kumu, ka neʻe wikiwiki ʻana i nā moʻokāki ao, a me ke koho e hoʻohana hou aku i ke kaulahao lako. Hōʻike ka hōʻike lehulehu i nā repos pilikino i hoʻohuli ʻia i ka lehulehu me kahi "-neʻe ʻana" pākuʻi hope, kahi e hoʻonui ai i ka hōʻike ʻikepili a me ka momentum

I loko o ka uku ukana ʻo Shai-Hulud: pūʻolo.js i loko o nā pūʻolo npm

Nā moku ʻo Shai-Hulud ma ke ʻano he nui, hoʻopili ʻia me Webpack a hoʻemi nui ʻia Waihona JavaScript (pūʻolo.js, ma kahi o 3–3.7 MB) e hoʻokō ana mai kahi ma hope o ke kau ʻana hoʻopaʻa i loko pakete.jsonNo laila, Hoʻāla koke kēlā me kēia hoʻouka ʻana i ka ukana. Hūnā kēia hoʻolālā i nā mea hōʻike, hoʻopili i ke kahe kaohi, a hoʻokuke i nā logic āpau i loko o hoʻokahi artifact e hoʻokō ʻia i ka wā o ke kau ʻana. Hōʻoia mau nā mea loiloi i ka hoʻopili ʻana o Webpack, ka nui faila ʻokoʻa, a me ka hoʻokō manawa hoʻouka.

Nā ʻano Obfuscation a me anti-analysis āu e ʻike ai i nā laʻana:

• Kiʻikuhi modula i hoʻemi ʻia me nā ID module helu, nā manaʻo kakaikahi, a me ke kahe hoʻomalu palahalaha. Eia kekahi, ʻO kēia ʻano hana e paʻakikī loa ai ka loiloi lima ʻana.
• Ka peʻe ʻana o ke kaula ma o nā papa base64 a me nā mea kōkua kūkulu. Eia kekahi laʻana, ʻIke pinepine ʻia ka hoʻopili ʻana a me ka wehewehe ʻana o ka base64 a puni nā hana exfiltration.
• Hoʻouna ʻana i ka hoʻololi ʻana ma loiloinā ʻano hoʻohālike a me nā kino hana i hana ʻia, no laila e hiki ai i ke code ke hoʻololi i ke ʻano i ka wā holo.
• Kānana ʻōnaehana hana e makemake i ka hoʻokō ʻana o Linux a me macOS ma nā mea holo CI a me nā kamepiula lawe mea hoʻomohala.

Mai kahi kihi hana, he modular ka pūʻolo. Hōʻike nā kākau i nā modula no ka ʻike ʻana o ka OS, nā faila filesystem a me nā git secret scans, ke komo ʻana o ka cloud SDK, nā hana GitHub API, a me kahi ʻenekini hoʻolaha e hoʻoponopono ana i nā pūʻolo ʻē aʻe a ka mea mālama e nona ana. ʻO ka ʻoiaʻiʻo, hōʻike ʻo StepSecurity lāua ʻo ReversingLabs i kahi hana e hoʻohou hou i nā pūʻolo me ka makau ʻino.

Hoʻokō Manawa Hoʻokomo ma Shai-Hulud: Pehea e hoʻoulu ai nā pūʻolo npm i ka ilo

Hoʻomaka ka hoʻouka kaua i ka wā holo ka node ma hope o ke kau ʻana pūʻolo.js. I kēia manawa, hoʻomaka ka script a wehe i ke kūlana hana ma ka hoʻomanaʻo, e hoʻonohonoho ana i ke kahua no ka hana piha o ka ilo.

Ka ʻike ʻana a me ka ʻohi ʻana

• Hoʻopau ka payload dumps i ka process.env a nānā i nā faila kūloko no nā mea huna entropy kiʻekiʻe a me nā prefixes hōʻailona. Eia kekahi, hoʻonui ia i ka uhi ʻana ma ka holo ʻana iā TruffleHog.
• Ke nīnau nei ia i nā kiko metadata ao e hōʻiliʻili i nā hōʻoia pōkole. ʻo kahi laʻana, kāhea aku iā 169.254.169.254 ma AWS a i ʻole metadata.google.internal ʻIke pinepine ʻia ka GCP i nā poʻe i loaʻa i ka maʻi.
• No laila, hiki ke hoʻohana koke ʻia kekahi hōʻoia i loaʻa e hoʻopuka i nā pūʻolo npm hou a i ʻole e hoʻokuke i nā kahe hana GitHub.

Exfiltration

• Hoʻokumu ka ilo i kahi repo GitHub hou i kapa ʻia Shai Hulud a kākau i kahi base64-encoded pālua data.json me nā kikoʻī o ka paepae, nā ʻōpala kaiapuni, a me nā mea huna. E like me ka mea i ʻike ʻia, maʻalahi ke ʻike i kēia ʻano walaʻau inā ʻike nā mea pale i kahi e nānā ai.
• Hoʻomoe pū ia i kahi kahe hana GitHub Actions, pinepine ma kahi lālā i kapa ʻia shai-hulud, e hoʻopaʻa ana i nā moʻolelo ${{ toJSON(secrets) }} a hoʻouna i ka ʻikepili i kahi webhook static. Eia kekahi, hoʻomau kēia kahe hana a hiki i ka wā e wehe ai kekahi.

Hoʻopōla

• Me kekahi hōʻailona npm i ʻike ʻia, helu ka payload i nā pūʻolo āpau i loaʻa i ka mea mālama i hoʻopilikia ʻia. A laila, kiʻi ia i kēlā me kēia tarball, hoʻokomo i ka bundle.js a me kahi komo postinstall, a hoʻopuka hou i ka pūʻolo.
• ʻO ka hopena, hiki ke ʻike ʻia nā ʻumi o nā pūʻolo i loaʻa i ka maʻi i loko o kekahi mau hola, e hoʻonui ana i ka radius o ka pahū ma waena o ka ʻōnaehana ola.

Ka hoʻomau a me ka hōʻike ʻana

• Mālama ka ilo i nā kahe hana ʻino a, i kekahi mau hihia, hoʻohuli i nā repos pilikino i ka lehulehu me kahi "-neʻe ʻana" hope. Ma ke ʻano holoʻokoʻa, hōʻoia kēia i ka mea hoʻouka e mālama i kahi kūlana paʻa a hoʻonui i ka liki ʻikepili.

memo ʻike kī
ʻO kēia hoʻohana kūikawā ʻole ${{ toJSON(secrets) }} he mea kākaʻikahi nā kahe hana ma nā Hana. No laila, pono nā kime e mālama iā ia ma ke ʻano he hōʻailona hōʻailona kiʻekiʻe i ka wā o ka hahai holoholona.

ʻAno hana i hoʻomaʻemaʻe ʻia e pono ai ʻoe e ʻimi

ʻO kēia hoʻohana kūikawā ʻole i JSON(nā mea huna) he hōʻailona hōʻailona kiʻekiʻe ʻo in Actions i kēia hanana.

Pseudo-code hoʻolaha kiʻekiʻe (palekana, wehewehe)