Shai-Hulud: Az npm csomagféreg magyarázata

A Shai-Hulud ellátási lánc elleni támadás vezetői hatása

A Shai-Hulud ma is aktív. Ez a féreg felgyorsítja a becsapódás idővonalát. Ami egykor hetekig tartott egy trójaival, az most órák alatt lezajlik. Ennek eredményeként, a terjedés gyorsabb és nehezebben megfékezhető. Az alábbiak által halad előre:

• Npm közzétételi tokenek és GitHub titkok ellopása.
• Újraközzétéve magát más npm csomagokba.
• Kártékony GitHub Actions munkafolyamatok hozzáadása a megmaradás érdekében.

Kiket érint:

Bármely csapat, amely nyilvános npm csomagokat telepít, ki van téve a biztonsági résnek. Ezenkívül a gyorsítótárazott npm vagy GitHub tokenekkel rendelkező fejlesztők is nagy kockázatnak vannak kitéve. A széles hatókörű titkokat használó CI-futtatók is sebezhetőek.

Üzleti kockázat

Az üzleti hatás gyorsan növekszik. Az ellopott tokenek fiókátvételhez, csomageltérítéshez és akár a felhővel való visszaéléshez is vezethetnek. Ezenkívül a GitHub munkafolyamatokban való megmaradás megnehezíti a tisztítást. Ezért...A csapatoknak a Shai-Hulud ügyet folyamatban lévő incidensként, nem pedig lezártként kell kezelniük.

Hogyan működik a Shai-Hulud ellátási lánc támadás az npm csomagokban

A támadó céljai és indítékai

A kampány három dologra optimalizál:

• Az első cél az, hogy nagymértékű hitelesítő adatok ellopása fejlesztői laptopokról és CI-futtatókról. Ez magában foglalja az npm közzétételi tokeneket, a GitHub tokeneket és a felhőalapú hitelesítő adatokat. Valójában több elemzés is megerősíti a szisztematikus titkos adatgyűjtést, például a TruffleHog futtatásával és a felhőbeli metaadat-végpontok lekérdezésével.
• A második cél az, hogy automatikusan terjed a feltört karbantartók publikálási jogainak visszaélésével. Ennek eredményeként egy megvetett lábbal a kezében lévő terület gyorsan sokasággá válik, mivel más csomagok új fertőzött verziói jelennek meg további emberi erőfeszítés nélkül.
• A harmadik célkitűzés az, hogy megbízhatóan megmaradnak és kiszűrődnek a GitHub infrastruktúrán keresztül. A támadók létrehoznak egy „Shai-Hulud” nevű nyilvános repót, dupla base64 értékkel. data.json, és ezen felül egy olyan munkafolyamatot is létrehoznak, amely szerializálja ${{ toJSON(titkok) }} és közzéteszi egy statikus webhookban.

A valószínűsíthető jutalom magában foglalja a nyilvántartásokhoz és a forráskódhoz való hosszú távú hozzáférést, a felhőfiókokba való gyors laterális áthelyezést, valamint az ellátási lánc további fegyverré tételének lehetőségét. A nyilvános jelentések szerint a privát repók nyilvánossá váltak egy „-migráció” utótag, ami növeli az adatkitettséget és a lendületet

A Shai-Hulud rakományon belül: köteg.js npm csomagokban

Shai-Hulud hajói olyanok, mint a nagy, Webpack-csomagba csomagolt és erősen minifikált JavaScript-fájl (köteg.js, körülbelül 3–3.7 MB) amely egyből végrehajtódik telepítés után beakasztani csomag.jsonKövetkezésképpen, Minden telepítés automatikusan elindítja a hasznos adatot. Ez a kialakítás elrejti az azonosítókat, tömöríti a vezérlési folyamatot, és az összes logikát egyetlen, a telepítés során végrehajtódó elemzőegységbe foglalja. Az elemzők következetesen megerősítik a Webpack csomagba foglalást, a szokatlan fájlméretet és a telepítési idejű végrehajtást.

A mintákban látható ködösítési és elemzésellenes tulajdonságok:

• Minifixált modulgráf numerikus modulazonosítókkal, ritka megjegyzésekkel és lapított vezérlési folyamattal. Továbbá, Ez a struktúra rendkívül megnehezíti a manuális ellenőrzést.
• Karakterlánc elrejtése base64 rétegeken és konstrukciós segédprogramokon keresztül. Például, Az ismétlődő base64 kódolás és dekódolás általában a kiszűrési rutinok körül jelenik meg.
• Dinamikus diszpécser keresztül evalstílusú mintákat és generált függvénytörzseket, lehetővé téve a kód számára, hogy futásidejű viselkedést váltson.
• OS szűrés előnyben részesíteni a Linux és macOS futtatását, különösen CI runnereken és fejlesztői laptopokon.

Funkcionális szempontból a csomag moduláris. A leírások modulokat írnak le az operációs rendszer felderítéséhez, a fájlrendszer és a git titkos kódjainak vizsgálatához, a felhőalapú SDK eléréséhez, a GitHub API műveletekhez, valamint egy olyan terjesztőmotorhoz, amely a karbantartó tulajdonában lévő egyéb csomagokat szerkeszti. Valójában a StepSecurity és a ReversingLabs is kiemel egy olyan függvényt, amely automatikusan frissíti a csomagokat a rosszindulatú hookkal.

Telepítési idejű végrehajtás Shai-Huludban: Hogyan indítják el az npm csomagok a férget

A támadás akkor kezdődik, amikor telepítés utáni futtatások csomópontja köteg.js. Ezen a ponton a szkript inicializálja és kicsomagolja a memóriában lévő működő állapotot, előkészítve a terepet a féreg teljes működéséhez.

Felfedezés és betakarítás

• A hasznos adat kiírja a process.env fájlt, és beolvassa a helyi fájlokat nagy entrópiájú titkok és token előtagok után. Ezenkívül a TruffleHog futtatásával kiterjeszti a lefedettséget.
• Lekérdezi a felhő metaadat-végpontjait a rövid életű hitelesítő adatok összegyűjtéséhez. Például, felhívja 169.254.169.254 az AWS-en vagy metadata.google.internal a GCP-n gyakran megjelennek a fertőzött gazdaszervezetekben.
• Következésképpen, Bármely megtalált hitelesítő adat azonnal felhasználhatóvá válik új npm csomagok közzétételére vagy GitHub munkafolyamatok elindítására.

Kiszűrés

• A féreg létrehoz egy új GitHub repót, melynek neve Shai Hulud és egy dupla base64 kódolású kódot ír data.json platform részletekkel, környezeti dumpokkal és titkos információkkal. Amint látható, ez a zajos viselkedés könnyen észrevehető, ha a védők tudják, hol kell keresniük.
• Emellett egy GitHub Actions munkafolyamatot is létrehoz, gyakran egy nevű ágon. shai-hulud, amely szerializál ${{ toJSON(secrets) }} és egy statikus webhookba teszi közzé az adatokat. Továbbá ez a munkafolyamat mindaddig megmarad, amíg valaki aktívan el nem távolítja azt.

Szaporítás

• Bármely felfedezett npm token esetén a hasznos adat felsorolja a feltört karbantartó tulajdonában lévő összes csomagot. Ezután lekéri az egyes tarballokat, befecskendezi a bundle.js-t és egy telepítés utáni bejegyzést, majd újra közzéteszi a csomagot.
• Ennek eredményeként órák alatt több tucat fertőzött csomag jelenhet meg, megsokszorozva a robbanás sugarát az ökoszisztémában.

Perzisztencia és expozíció

• A féreg életben tartja a rosszindulatú munkafolyamatokat, és számos esetben a privát repókat nyilvánossá teszi egy „-migráció” utótag. Összességében ez biztosítja, hogy a támadó megtartsa a lábát, és maximalizálja az adatszivárgást.

Kulcsérzékelési megjegyzés
Ez a szokatlan felhasználás ${{ toJSON(secrets) }} Az Actions munkafolyamatokban ritka. Ezért a csapatoknak vadászatok során magas jelzésként kell kezelniük.

Fertőtlenített munkafolyamat-minta, amelyet érdemes keresni

Ez a szokatlan felhasználás nak nek JSON(titkok) Az „Actions” (Műveletek) ebben az esetben nagy jelzésértékű jelző.

Magas szintű terjedési pszeudokód (biztonságos, leíró)