Shai-Hulud: Objašnjenje crva npm paketa

Utjecaj napada na lanac opskrbe Shai-Hulud na rukovodstvo

Shai-Hulud je i danas aktivan. Ovaj crv ubrzava vremenski okvir utjecaja. Ono što je nekada trajalo tjednima s trojancem sada se odvija u satima. Kao rezultat toga, širenje je brže i teže ga je suzbiti. Napreduje se putem:

• Krađa npm tokena za objavu i GitHub tajni.
• Ponovno objavljivanje sebe u drugim npm paketima.
• Dodavanje zlonamjernih GitHub Actions radnih procesa za trajnost.

Tko je pogođen:

Svaki tim koji instalira javne npm pakete je izložen riziku. Štoviše, programeri s predmemoriranim npm ili GitHub tokenima suočavaju se s visokim rizikom. CI pokretači koji koriste široko dostupne tajne također su ranjivi.

Poslovni rizik

Utjecaj na poslovanje brzo raste. Ukradeni tokeni mogu dovesti do preuzimanja računa, otmice paketa, pa čak i zlouporabe oblaka. Osim toga, upornost u GitHub tijekovima rada otežava čišćenje. StogaTimovi moraju tretirati Shai-Hulud kao tekući incident, a ne kao zatvoreni.

Kako Shai-Hulud napad na lanac opskrbe funkcionira u npm paketima

Ciljevi i motiv napadača

Kampanja optimizira za tri stvari:

• Prvi cilj je krađa vjerodajnica u velikim količinama s prijenosnih računala razvojnih programera i CI runera. To uključuje npm tokene za objavljivanje, GitHub tokene i vjerodajnice za oblak. Zapravo, višestruke analize potvrđuju sustavno prikupljanje tajnih podataka, kao što je pokretanje TruffleHoga i ispitivanje krajnjih točaka metapodataka u oblaku.
• Drugi cilj je da automatski širiti zlouporabom prava objavljivanja kompromitiranih održavatelja. Kao rezultat toga, jedno uporište se brzo širi u mnoga, budući da se nove zaražene verzije drugih paketa pojavljuju bez dodatnog ljudskog napora.
• Treći cilj je da pouzdano perzistirati i izlučiti se putem GitHub infrastrukture. Napadači stvaraju javni repozitorij pod nazivom „Shai-Hulud“ s dvostrukom bazom64 data.json, a uz to i postavljaju tijek rada koji serijalizira ${{ toJSON(tajne) }} i objavljuje ga na statički webhook.

Vjerojatna korist uključuje dugotrajan pristup registrima i izvornom kodu, brzo lateralno kretanje prema računima u oblaku i mogućnost daljnjeg naoružavanja lanca opskrbe. Javna izvješća pokazuju da su privatni repozitorij prebačeni u javne s... "-migracija" sufiks, koji povećava izloženost podacima i zamah

Unutar tereta Shai-Huluda: snop.js u npm paketima

Shai-Hulud brodovi kao veliko, uključeno u Webpack i jako minificirano JavaScript datoteka (snop.js, oko 3–3.7 MB) koji se izvršava iz nakon instalacije zakačiti paket.jsonPosljedično, Svaka instalacija automatski pokreće korisni teret. Ovaj dizajn skriva identifikatore, komprimira tijek upravljanja i gura svu logiku u jedan artefakt koji se izvršava tijekom instalacije. Analitičari dosljedno potvrđuju grupiranje Webpackova, neobičnu veličinu datoteke i izvršavanje tijekom instalacije.

Osobine zamagljivanja i antianalize koje ćete vidjeti u uzorcima:

• Minimizirani graf modula s numeričkim ID-ovima modula, rijetkim komentarima i izravnanim tokom upravljanja. Štoviše, Ova struktura izuzetno otežava ručni pregled.
• Skrivanje niza putem base64 slojeva i pomoćnih alata za konstrukciju. Na primjer, Ponavljano base64 kodiranje i dekodiranje obično se pojavljuje oko rutina za izvlačenje.
• Dinamička otprema kroz eval-stil obrasce i generirana tijela funkcija, što omogućuje kodu promjenu ponašanja tijekom izvođenja.
• Filtriranje OS-a preferirati izvršavanje Linuxa i macOS-a, posebno na CI runnerima i prijenosnim računalima za razvojne programere.

S funkcionalnog gledišta, paket je modularan. U opisima su opisani moduli za otkrivanje OS-a, skeniranje datotečnog sustava i tajnih podataka Git-a, pristup cloud SDK-u, operacije GitHub API-ja i mehanizam za propagaciju koji uređuje druge pakete u vlasništvu održavatelja. Zapravo, StepSecurity i ReversingLabs ističu funkciju koja automatski ažurira pakete sa zlonamjernim udicom.

Izvršavanje za vrijeme instalacije u Shai-Huludu: Kako npm paketi pokreću crva

Napad počinje kada nakon instalacije pokreće čvor snop.js. U ovom trenutku, skripta inicijalizira i raspakirava radno stanje u memoriji, postavljajući temelje za puni rad crva.

Otkriće i žetva

• Payload ispisuje process.env i skenira lokalne datoteke za tajne datoteke visoke entropije i prefikse tokena. Osim toga, proširuje pokrivenost pokretanjem TruffleHog-a.
• Ispituje krajnje točke metapodataka u oblaku kako bi prikupio kratkotrajne vjerodajnice. Na primjer, poziva na 169.254.169.254 na AWS-u ili metadata.google.internal na GCP-u se često pojavljuju kod zaraženih domaćina.
• Prema tome, Svaka pronađena vjerodajnica postaje odmah upotrebljiva za objavljivanje novih npm paketa ili pokretanje GitHub tijeka rada.

Eksfiltracija

• Crv stvara novi GitHub repozitorij pod nazivom Shai Hulud i piše dvostruko base64 kodirano data.json s detaljima platforme, datotekama okruženja i tajnama. Kao što se može vidjeti, ovo bučno ponašanje lako je uočiti ako branitelji znaju gdje tražiti.
• Također postavlja tijek rada GitHub Actions, često na granu pod nazivom šaj-hulud, koji se serijalizira ${{ toJSON(secrets) }} i objavljuje podatke na statički webhook. Nadalje, ovaj tijek rada traje sve dok ga netko aktivno ne ukloni.

Razmnožavanje

• S otkrivenim npm tokenom, korisni teret nabraja sve pakete u vlasništvu kompromitiranog održavatelja. Zatim dohvaća svaki tarball, ubrizgava bundle.js i postinstall unos te ponovno objavljuje paket.
• Kao rezultat toga, deseci zaraženih paketa mogu se pojaviti u roku od nekoliko sati, umnožavajući radijus eksplozije u ekosustavu.

Upornost i izloženost

• Crv održava zlonamjerne tijekove rada živima i, u nekoliko slučajeva, pretvara privatne repozitorije u javne s "-migracija" sufiks. Sveukupno, ovo osigurava da napadač zadrži uporište i maksimizira curenje podataka.

Napomena o otkrivanju ključa
Ova neobična upotreba ${{ toJSON(secrets) }} u tijekovima rada Akcije je rijedak. Prema tome, Timovi bi ga trebali tretirati kao pokazatelj visokog signala tijekom lova.

Sanitizirani obrazac tijeka rada koji biste trebali tražiti

Ova neobična upotreba do JSON(tajne) u Djelovanjima je pokazatelj visokog signala u ovom incidentu.

Pseudokod za propagaciju visoke razine (siguran, deskriptivan)