Shai-Hulud: Penjelasan tentang Worm Paket npm

Dampak Eksekutif dari Serangan Rantai Pasokan Shai-Hulud

Shai-Hulud masih aktif hingga saat ini. Worm ini mempercepat jangka waktu dampak. Apa yang dulunya membutuhkan waktu berminggu-minggu dengan trojan, kini terjadi dalam hitungan jam. Akibatnya, Penyebarannya lebih cepat dan lebih sulit dikendalikan. Hal ini berkembang dengan cara:

• Mencuri token publikasi npm dan rahasia GitHub.
• Menerbitkan ulang dirinya sendiri ke dalam paket npm lainnya.
• Menambahkan alur kerja GitHub Actions berbahaya untuk persistensi.

Siapa yang terkena dampak:

Tim mana pun yang menginstal paket npm publik berisiko. Terlebih lagi, pengembang dengan token npm atau GitHub yang tersimpan dalam cache menghadapi risiko tinggi. CI runner yang menggunakan rahasia dengan cakupan luas juga rentan.

Resiko bisnis

Dampak bisnisnya berkembang dengan cepat. Token yang dicuri dapat menyebabkan pengambilalihan akun, pembajakan paket, dan bahkan penyalahgunaan cloud. Selain itu, persistensi dalam alur kerja GitHub mempersulit pembersihan. Oleh karena ituOleh karena itu, tim harus memperlakukan insiden Shai-Hulud sebagai insiden yang masih berlangsung, bukan insiden yang sudah selesai.

Bagaimana Serangan Rantai Pasokan Shai-Hulud Bekerja pada Paket npm

Tujuan dan motif penyerang

Kampanye ini dioptimalkan untuk tiga hal:

• Tujuan pertama adalah untuk mencuri kredensial dalam skala besar dari laptop pengembang dan CI runner. Ini termasuk token publikasi npm, token GitHub, dan kredensial cloud. Bahkan, beberapa analisis mengkonfirmasi pengumpulan rahasia secara sistematis, seperti menjalankan TruffleHog dan melakukan kueri pada endpoint metadata cloud.
• Tujuan kedua adalah untuk menyebar secara otomatis dengan menyalahgunakan hak penerbitan dari pengelola yang telah dikompromikan. Akibatnya, satu celah keamanan dengan cepat meluas menjadi banyak, karena versi baru yang terinfeksi dari paket lain muncul tanpa upaya manusia tambahan.
• Tujuan ketiga adalah untuk bertahan dan keluar dengan andal Melalui infrastruktur GitHub, penyerang membuat repositori publik bernama “Shai-Hulud” dengan base64 ganda. data.json, dan sebagai tambahan mereka menanamkan alur kerja yang menserialisasi ${{ toJSON(secrets) }} dan mengirimkannya ke webhook statis.

Keuntungan yang mungkin diperoleh termasuk akses jangka panjang ke registri dan kode sumber, perpindahan lateral yang cepat ke akun cloud, dan opsi untuk mempersenjatai rantai pasokan lebih lanjut. Pelaporan publik menunjukkan repositori pribadi dialihkan ke publik dengan "-migrasi" akhiran, yang meningkatkan paparan data dan momentum

Di dalam Muatan Shai-Hulud: bundel.js dalam paket npm

Kapal Shai-Hulud sebagai besar, dibundel dengan Webpack, dan diminifikasi secara ekstensif File JavaScript (bundel.js(sekitar 3–3.7 MB) yang dieksekusi dari sebuah pascainstal kaitkan package.json. Akibatnya, Setiap instalasi memicu payload secara otomatis. Desain ini menyembunyikan pengidentifikasi, memampatkan alur kontrol, dan mendorong semua logika ke dalam satu artefak yang dieksekusi selama instalasi. Analis secara konsisten mengkonfirmasi penggabungan Webpack, ukuran file yang tidak biasa, dan eksekusi pada saat instalasi.

Ciri-ciri pengaburan dan anti-analisis yang akan Anda lihat dalam sampel:

• Grafik modul yang diperkecil dengan ID modul numerik, komentar yang minim, dan alur kontrol yang disederhanakan. Selain itu,, Struktur ini membuat peninjauan manual menjadi sangat sulit.
• Penyembunyian string melalui lapisan base64 dan alat bantu konstruksi. Misalnya, Pengkodean dan dekode base64 yang berulang biasanya muncul di sekitar rutinitas eksfiltrasi.
• Pengiriman dinamis melalui evaluasi-pola gaya dan badan fungsi yang dihasilkan, sehingga memungkinkan kode untuk mengubah perilaku saat runtime.
• Penyaringan OS lebih memilih eksekusi Linux dan macOS khususnya pada CI runner dan laptop pengembang.

Dari sudut pandang fungsional, paket ini bersifat modular. Penjelasan tersebut menjabarkan modul untuk pendeteksian sistem operasi, pemindaian sistem file dan rahasia Git, akses SDK cloud, operasi API GitHub, dan mesin penyebaran yang mengedit paket lain yang dimiliki oleh pengelola. Bahkan, StepSecurity dan ReversingLabs sama-sama menyoroti fungsi yang secara otomatis memperbarui paket dengan hook berbahaya.

Eksekusi Saat Instalasi di Shai-Hulud: Bagaimana Paket npm Memicu Worm

Serangan dimulai ketika postinstall menjalankan node bundel.js. Pada tahap ini, skrip menginisialisasi dan membongkar status kerja di memori, menyiapkan panggung untuk pengoperasian worm secara penuh.

Penemuan dan pemanenan

• Payload ini mengambil isi process.env dan memindai file lokal untuk mencari rahasia dengan entropi tinggi dan awalan token. Selain itu, cakupan pemindaian diperluas dengan menjalankan TruffleHog.
• Sistem ini melakukan kueri ke titik akhir metadata cloud untuk mengumpulkan kredensial yang berumur pendek. Misalnya, panggilan ke 169.254.169.254 di AWS atau metadata.google.internal Pada GCP sering muncul pada inang yang terinfeksi.
• Akibatnya, Setiap kredensial yang ditemukan akan langsung dapat digunakan untuk menerbitkan paket npm baru atau mendorong alur kerja GitHub.

exfiltration

• Worm tersebut membuat repositori GitHub baru bernama Shai Hulud dan menulis double yang dikodekan base64 data.json dengan detail platform, data lingkungan, dan rahasia. Seperti yang terlihat, perilaku yang berisik ini mudah dikenali jika pihak yang bertahan tahu ke mana harus mencari.
• Selain itu, ia juga menanamkan alur kerja GitHub Actions, seringkali pada cabang bernama... shai-hulud, yang menserialisasi ${{ toJSON(secrets) }} dan mengirimkan data ke webhook statis. Selain itu, alur kerja ini tetap berjalan hingga seseorang secara aktif menghapusnya.

Perambatan

• Dengan token npm yang ditemukan, payload akan menghitung semua paket yang dimiliki oleh pengelola yang disusupi. Kemudian, ia mengambil setiap tarball, menyuntikkan bundle.js dan entri postinstall, lalu menerbitkan ulang paket tersebut.
• Akibatnya, puluhan paket yang terinfeksi dapat muncul dalam hitungan jam, memperluas jangkauan dampak di seluruh ekosistem.

Ketekunan dan paparan

• Worm tersebut menjaga alur kerja berbahaya tetap aktif dan, dalam beberapa kasus, mengubah repositori pribadi menjadi publik dengan cara tertentu. "-migrasi" akhiran. Secara keseluruhan, ini memastikan penyerang mempertahankan pijakan dan memaksimalkan kebocoran data.

Catatan deteksi kunci
Penggunaan yang tidak biasa ini ${{ toJSON(secrets) }} Dalam alur kerja Actions, hal ini jarang terjadi. Oleh karena itu, Tim harus menganggapnya sebagai indikator sinyal tinggi selama perburuan.

Pola alur kerja yang telah disanitasi yang harus Anda cari.

Penggunaan yang tidak biasa ini untuk JSON(rahasia) Tindakan yang dilakukan merupakan indikator penting dalam insiden ini.

Kode semu propagasi tingkat tinggi (aman, deskriptif)