Shai-Hulud: Eksplikasyon sou vè pakè npm yo

Enpak Egzekitif Atak Chèn Apwovizyonman Shai-Hulud la

Shai-Hulud toujou aktif jodi a. Vè sa a akselere delè enpak la. Sa ki te konn pran plizyè semèn ak yon Trojan kounye a dewoule nan kèk èdtan. Kòm rezilta, pwopagasyon an pi rapid e pi difisil pou kontwole. Li avanse pa:

• Vòlè jeton piblikasyon npm ak sekrè GitHub.
• Repibliye tèt li nan lòt pakè npm.
• Ajoute workflows aksyon GitHub move pou pèsistans.

Ki moun ki afekte:

Nenpòt ekip ki enstale pakè npm piblik yo ekspoze. Anplis, devlopè ki gen npm oswa jeton GitHub ki nan kach la fè fas ak gwo risk. Moun ki sèvi ak sekrè ki gen gwo dimansyon yo vilnerab tou.

Risk biznis

Enpak sou biznis la ap grandi byen vit. Jeton yo vòlè ka mennen nan pran kontwòl kont, detounman pakè, e menm move itilizasyon nwaj la. Anplis de sa, pèsistans nan workflows GitHub yo fè li pi difisil pou netwaye. Se poutèt sa., ekip yo dwe trete Shai-Hulud kòm yon ensidan ki kontinye, pa kòm yon ensidan ki fèmen.

Kijan atak chèn ekipman Shai-Hulud la fonksyone nan pakè npm yo

Objektif ak motivasyon atakè a

Kanpay la optimize pou twa bagay:

• Premye objektif la se vòlè kalifikasyon sou yon gwo echèl soti nan òdinatè pòtab devlopè ak kourè CI. Sa gen ladan jeton piblikasyon npm, jeton GitHub, ak kalifikasyon nwaj. Anfèt, plizyè analiz konfime rekòlt sekrè sistematik, tankou kouri TruffleHog ak kesyone pwen final metadone nwaj yo.
• Dezyèm objektif la se pou pwopaje otomatikman lè yo abize dwa piblikasyon moun k ap kenbe pwogram nan ki konpwomèt. Kòm rezilta, yon baz byen vit elaji pou vin tounen plizyè, piske nouvo vèsyon enfekte nan lòt pakè parèt san plis efò imen.
• Twazyèm objektif la se pou pèsiste epi sòti yon fason fyab atravè enfrastrikti GitHub la. Atakan yo kreye yon depo piblik ki rele "Shai-Hulud" ak yon doub baz64 done.json, epi anplis de sa yo plante yon workflow ki serilize ${{ toJSON(sekrè) }} epi poste li nan yon webhook estatik.

Benefis ki gen anpil chans rive a gen ladan aksè alontèm nan rejis ak kòd sous, mouvman lateral rapid nan kont nwaj yo, ak opsyon pou fè chèn ekipman an tounen yon zam pi plis toujou. Rapò piblik yo montre depo prive yo te transfòme an piblik ak yon "-migrasyon" sifiks, ki ogmante ekspozisyon done ak momantòm

Anndan chaj Shai-Hulud la: pake.js nan pakè npm yo

Shai-Hulud bato kòm yon gwo, Webpack-bundled ak trè minifye Fichye JavaScript (pake.js, anviwon 3–3.7 MB) ki egzekite apati de yon apre enstalasyon kwòche package.jsonKidonk, Chak enstalasyon deklanche chaj la otomatikman. Konsepsyon sa a kache idantifyan yo, konprese koule kontwòl la, epi pouse tout lojik la nan yon sèl atifak ki egzekite pandan enstalasyon an. Analist yo toujou konfime gwoupman Webpack la, gwosè fichye ki dwòl la, ak ekzekisyon an lè enstalasyon an.

Karakteristik ofiskasyon ak anti-analiz ou pral wè nan echantiyon yo:

• Graf modil minifye avèk ID modil nimerik, kòmantè ra, ak koule kontwòl aplati. Anplis, Estrikti sa a rann revizyon manyèl trè difisil.
• Kache kòd atravè kouch base64 ak asistan konstriksyon. Pa egzanp, Repetisyon kodaj ak dekodaj base64 anjeneral parèt otou woutin èsfiltrasyon yo.
• Dispatch dinamik nan evalmodèl -style ak kò fonksyon ki pwodui, kidonk pèmèt kòd la chanje konpòtman pandan ekzekisyon.
• Filtraj sistèm operasyon an pou prefere ekzekisyon Linux ak macOS patikilyèman sou òdinatè CI ak laptop devlopè.

Sou yon aspè fonksyonèl, pake a se modilè. Dokiman yo dekri modil pou dekouvèt sistèm operasyon, analiz sistèm fichye ak sekrè git, aksè SDK nwaj, operasyon API GitHub, ak yon motè pwopagasyon ki modifye lòt pakè moun k ap mentni an posede. Anfèt, StepSecurity ak ReversingLabs tou de mete aksan sou yon fonksyon ki mete ajou pakè ki gen hook move a otomatikman.

Ekzekisyon nan Shai-Hulud pandan enstalasyon an: Kijan pakè npm yo deklanche vè a

Atak la kòmanse lè ne kouri apre enstalasyon pake.js. Nan pwen sa a, script la inisyalize epi dekonprese eta k ap travay la nan memwa, sa ki prepare teren an pou vè a fonksyone nèt.

Dekouvèt ak rekòlte

• Chaj la dechaje process.env epi li eskane fichye lokal yo pou sekrè ki gen anpil entropi ak prefiks jeton. Anplis de sa, li pwolonje pwoteksyon an lè li egzekite TruffleHog.
• Li fè rechèch sou pwen final metadone nwaj yo pou kolekte kalifikasyon ki pa dire lontan. Pou egzanp, apèl pou 169.254.169.254 sou AWS oubyen metadata.google.internal sou GCP souvan parèt nan lame enfekte yo.
• Kontinwe, Nenpòt kalifikasyon yo jwenn vin itil imedyatman pou pibliye nouvo pakè npm oswa pouse workflows GitHub.

Eksfiltrasyon

• Vè a kreye yon nouvo depo GitHub ki rele Shai Hulud epi li ekri yon doub kode base64 data.json avèk detay platfòm, imaj anviwònman, ak sekrè. Jan nou ka wè, konpòtman ki fè bwi sa a fasil pou w remake si defansè yo konnen ki kote pou yo chèche.
• Li plante tou yon workflow Aksyon GitHub, souvan sou yon branch ki rele shai-hulud, ki serilize ${{ toJSON(secrets) }} epi poste done yo nan yon webhook estatik. Anplis de sa, workflow sa a pèsiste jiskaske yon moun retire li aktivman.

Pwopagasyon

• Avèk nenpòt jeton npm yo dekouvri, chaj la lis tout pakè ki posede pa moun ki responsab antretyen an. Apre sa, li chèche chak tarball, li enjekte bundle.js ak yon antre postinstall, epi li repibliye pakè a.
• Kòm rezilta, plizyè douzèn pakè enfekte ka parèt nan kèk èdtan, sa ki miltipliye reyon eksplozyon an atravè ekosistèm nan.

Pèsistans ak ekspozisyon

• Vè a kenbe workflows move yo vivan epi, nan plizyè ka, li transfòme depo prive yo an depo piblik ak yon "-migrasyon" sifiks. An jeneral, sa asire ke atakè a kenbe yon pye epi maksimize flit done.

Nòt deteksyon kle
Itilizasyon dwòl sa a ${{ toJSON(secrets) }} Nan workflows Aksyon yo ra. Se poutèt sa, Ekip yo ta dwe trete li kòm yon endikatè siyal wo pandan lachas yo.

Modèl travay dezenfekte ou ta dwe chèche

Itilizasyon dwòl sa a yo JSON(sekrè) nan Aksyon se yon endikatè siyal wo nan ensidan sa a.

Pseudo-kòd pwopagasyon wo nivo (san danje, deskriptif)