शाई-हुलुद: एनपीएम पैकेज वर्म की व्याख्या

शाई-हुलुद आपूर्ति श्रृंखला हमले का कार्यकारी प्रभाव

शाई-हुलुद आज भी सक्रिय है। यह वर्म प्रभाव की गति को तेज कर देता है। जो प्रभाव पहले ट्रोजन के कारण हफ्तों में होता था, अब घंटों में हो जाता है। परिणामस्वरूप, इसका प्रसार तेजी से हो रहा है और इसे नियंत्रित करना कठिन है। यह इस प्रकार आगे बढ़ता है:

• npm पब्लिश टोकन और GitHub सीक्रेट्स चुराना।
• यह स्वयं को अन्य npm पैकेजों में पुनः प्रकाशित करता है।
• स्थायीता के लिए दुर्भावनापूर्ण GitHub Actions वर्कफ़्लो जोड़ना।

कौन प्रभावित होता है:

सार्वजनिक npm पैकेज इंस्टॉल करने वाली कोई भी टीम खतरे में है। इसके अलावा, कैश्ड npm या GitHub टोकन वाले डेवलपर्स को भी भारी जोखिम का सामना करना पड़ता है। व्यापक दायरे वाले सीक्रेट्स का उपयोग करने वाले CI रनर भी असुरक्षित हैं।

व्यावसायिक जोखिम

व्यापार पर इसका प्रभाव तेजी से बढ़ता है। चोरी किए गए टोकन से अकाउंट हैक, पैकेज हाइजैकिंग और यहां तक ​​कि क्लाउड का दुरुपयोग भी हो सकता है। इसके अलावा, GitHub वर्कफ़्लो में निरंतरता के कारण इसे साफ़ करना कठिन हो जाता है। इसलिएटीमों को शाई-हुलुद की घटना को एक निरंतर घटना के रूप में लेना चाहिए, न कि बंद घटना के रूप में।

npm पैकेजों में शाई-हुलुद सप्लाई चेन अटैक कैसे काम करता है

हमलावर के उद्देश्य और मकसद

यह अभियान तीन चीजों को अनुकूलित करता है:

• पहला उद्देश्य यह है कि बड़े पैमाने पर क्रेडेंशियल चुराएं डेवलपर लैपटॉप और CI रनर से प्राप्त जानकारी में npm पब्लिश टोकन, GitHub टोकन और क्लाउड क्रेडेंशियल शामिल हैं। वास्तव में, कई विश्लेषणों से व्यवस्थित रूप से गुप्त जानकारी इकट्ठा करने की पुष्टि होती है, जैसे कि TruffleHog चलाना और क्लाउड मेटाडेटा एंडपॉइंट्स से क्वेरी करना।
• दूसरा उद्देश्य यह है कि स्वचालित रूप से प्रचारित करें समझौता किए गए मेंटेनर्स के प्रकाशन अधिकारों का दुरुपयोग करके। परिणामस्वरूप, एक जगह से शुरुआत करने पर जल्दी ही कई जगहें बन जाती हैं, क्योंकि अन्य पैकेजों के नए संक्रमित संस्करण बिना किसी अतिरिक्त मानवीय प्रयास के सामने आ जाते हैं।
• तीसरा उद्देश्य यह है कि विश्वसनीय रूप से बने रहें और बाहर निकलें GitHub इंफ्रास्ट्रक्चर के माध्यम से। हमलावर डबल बेस64 का उपयोग करके "Shai-Hulud" नाम से एक सार्वजनिक रिपॉजिटरी बनाते हैं। डेटा.जेसनऔर इसके अतिरिक्त वे एक वर्कफ़्लो स्थापित करते हैं जो क्रमबद्ध करता है ${{ toJSON(secrets) }} और इसे एक स्टैटिक वेबहुक पर पोस्ट करता है।

इसके संभावित लाभों में रजिस्ट्रियों और सोर्स कोड तक दीर्घकालिक पहुंच, क्लाउड खातों में तेजी से स्थानांतरण और आपूर्ति श्रृंखला को और अधिक सशक्त बनाने का विकल्प शामिल है। सार्वजनिक रिपोर्टों से पता चलता है कि निजी रिपॉजिटरी को सार्वजनिक रिपॉजिटरी में परिवर्तित किया गया है। "-प्रवास" प्रत्यय, जो डेटा की पहुंच और गति को बढ़ाता है

शाई-हुलुद पेलोड के अंदर: बंडल.जेएस एनपीएम पैकेज में

शाई-हुलुद जहाज एक बड़ा, वेबपैक-बंडल किया गया और अत्यधिक छोटा किया गया जावास्क्रिप्ट फ़ाइल (बंडल.जेएस(लगभग 3–3.7 एमबी) जो एक से निष्पादित होता है पोस्टइंस्टॉल हुक इन package.json। फलस्वरूप, प्रत्येक इंस्टॉलेशन स्वचालित रूप से पेलोड को ट्रिगर करता है। यह डिज़ाइन पहचानकर्ताओं को छुपाता है, नियंत्रण प्रवाह को संकुचित करता है, और सभी लॉजिक को एक ही आर्टिफैक्ट में समाहित करता है जो इंस्टॉलेशन के दौरान निष्पादित होता है। विश्लेषक लगातार वेबपैक बंडलिंग, असामान्य फ़ाइल आकार और इंस्टॉलेशन के समय निष्पादन की पुष्टि करते हैं।

नमूनों में आपको अस्पष्टता और विश्लेषण-विरोधी लक्षण दिखाई देंगे:

• लघुकृत मॉड्यूल ग्राफ संख्यात्मक मॉड्यूल आईडी, संक्षिप्त टिप्पणियाँ और सरलीकृत नियंत्रण प्रवाह के साथ। इसके अलावा, इस संरचना के कारण मैन्युअल समीक्षा करना बेहद कठिन हो जाता है।
• स्ट्रिंग छिपाना बेस64 लेयर्स और कंस्ट्रक्शन हेल्पर्स के माध्यम से। उदाहरण के लिए।, बार-बार बेस64 एन्कोडिंग और डिकोडिंग आमतौर पर डेटा चोरी की प्रक्रियाओं के दौरान दिखाई देती है।
• गतिशील प्रेषण पूज्य गुरुदेव के मार्गदर्शन से संपन्न कर सकते हैं - विकसित करना-शैली पैटर्न और जनरेटेड फ़ंक्शन बॉडी, जिससे कोड को रनटाइम पर व्यवहार बदलने में सक्षम बनाया जा सके।
• ओएस फ़िल्टरिंग सीआई रनर्स और डेवलपर लैपटॉप पर विशेष रूप से लिनक्स और मैकओएस निष्पादन को प्राथमिकता दी जाती है।

कार्यात्मक दृष्टिकोण से, यह बंडल मॉड्यूलर है। इन लेखों में ऑपरेटिंग सिस्टम की पहचान, फाइलसिस्टम और गिट सीक्रेट स्कैन, क्लाउड एसडीके एक्सेस, गिटहब एपीआई संचालन और एक प्रसार इंजन के लिए मॉड्यूल का वर्णन किया गया है जो मेंटेनर के स्वामित्व वाले अन्य पैकेजों को संपादित करता है। वास्तव में, स्टेपसिक्योरिटी और रिवर्सिंगलैब्स दोनों एक ऐसे फ़ंक्शन पर प्रकाश डालते हैं जो दुर्भावनापूर्ण हुक वाले पैकेजों को स्वचालित रूप से अपडेट करता है।

Shai-Hulud में इंस्टालेशन के दौरान निष्पादन: npm पैकेज किस प्रकार समस्या उत्पन्न करते हैं

हमला तब शुरू होता है जब पोस्टइंस्टॉल नोड चलाता है बंडल.जेएस. इस बिंदु पर, स्क्रिप्ट मेमोरी में कार्यशील स्थिति को आरंभ और अनपैक करती है, जिससे वर्म के पूर्ण संचालन के लिए मंच तैयार होता है।

खोज और संकलन

• यह पेलोड process.env फ़ाइल को डंप करता है और स्थानीय फ़ाइलों में उच्च-एंट्रॉपी वाले गुप्त डेटा और टोकन उपसर्गों की खोज करता है। इसके अतिरिक्त, यह TruffleHog चलाकर कवरेज का विस्तार करता है।
• यह अल्पकालिक क्रेडेंशियल एकत्र करने के लिए क्लाउड मेटाडेटा एंडपॉइंट्स से क्वेरी करता है। उदाहरण के लिए: को कॉल करता है 169.254.169.254 AWS पर या metadata.google.internal जीसीपी पर पाए जाने वाले वायरस अक्सर संक्रमित होस्ट में दिखाई देते हैं।
• नतीजतन, मिलने वाला कोई भी क्रेडेंशियल तुरंत नए एनपीएम पैकेज प्रकाशित करने या गिटहब वर्कफ़्लो को पुश करने के लिए उपयोग किया जा सकता है।

exfiltration

• यह वर्म GitHub पर एक नया रिपॉजिटरी बनाता है जिसका नाम है शाई-हुलुद और एक डबल बेस64-एनकोडेड लिखता है data.json प्लेटफ़ॉर्म विवरण, पर्यावरण संबंधी जानकारी और गुप्त सूचनाओं के साथ। जैसा कि देखा जा सकता है, यदि रक्षकों को पता हो कि कहाँ देखना है, तो इस तरह के शोरगुल भरे व्यवहार को आसानी से पहचाना जा सकता है।
• यह GitHub Actions वर्कफ़्लो भी स्थापित करता है, अक्सर एक शाखा पर जिसका नाम है शाई-हुलुदजो क्रमबद्ध करता है ${{ toJSON(secrets) }} और यह डेटा को एक स्टैटिक वेबहुक पर पोस्ट करता है। इसके अलावा, यह वर्कफ़्लो तब तक बना रहता है जब तक कोई इसे सक्रिय रूप से हटा नहीं देता।

प्रचार

• किसी भी खोजे गए npm टोकन के साथ, पेलोड समझौता किए गए मेंटेनर के स्वामित्व वाले सभी पैकेजों को सूचीबद्ध करता है। फिर, यह प्रत्येक टारबॉल को फ़ेच करता है, bundle.js और एक पोस्टइंस्टॉल एंट्री इंजेक्ट करता है, और पैकेज को पुनः प्रकाशित करता है।
• इसके परिणामस्वरूप, कुछ ही घंटों में दर्जनों संक्रमित पैकेज सामने आ सकते हैं, जिससे पूरे पारिस्थितिकी तंत्र में विस्फोट का दायरा कई गुना बढ़ जाता है।

दृढ़ता और जोखिम

• यह वर्म दुर्भावनापूर्ण वर्कफ़्लो को चालू रखता है और कई मामलों में, निजी रिपॉज़िटरी को सार्वजनिक कर देता है। "-प्रवास" प्रत्यय। कुल मिलाकर, यह सुनिश्चित करता है कि हमलावर अपनी पकड़ बनाए रखे और डेटा लीक को अधिकतम करे।

मुख्य पहचान नोट
इस असामान्य उपयोग ${{ toJSON(secrets) }} एक्शन वर्कफ़्लो में यह दुर्लभ है। इसलिए, टीमों को शिकार के दौरान इसे एक उच्च-संकेत संकेतक के रूप में लेना चाहिए।

आपको जिस स्वच्छ कार्यप्रणाली पैटर्न की तलाश करनी चाहिए

इस असामान्य उपयोग सेवा मेरे JSON(रहस्य) इस घटना में की गई कार्रवाई एक महत्वपूर्ण संकेतक है।

उच्च-स्तरीय प्रसार छद्म-कोड (सुरक्षित, वर्णनात्मक)