Shai-Hulud: Útskýring á npm pakkaorminum

Áhrif árásarinnar á Shai-Hulud framboðskeðjuna á stjórnendur

Shai-Hulud er enn virkur í dag. Þessi ormur flýtir fyrir árekstrinum. Það sem áður tók vikur með Trójuhesti gerist nú á nokkrum klukkustundum. Þar af leiðandi, Útbreiðslan er hraðari og erfiðari að hefta. Það þróast áfram með því að:

• Að stela npm birtingartáknum og GitHub leyndarmálum.
• Endurútgefur sig í öðrum npm pakka.
• Bætir við illgjarnum GitHub Actions vinnuflæðum til að tryggja viðvarandi virkni.

Hverjir verða fyrir áhrifum:

Sérhvert teymi sem setur upp opinbera npm pakka er berskjaldað. Þar að auki standa forritarar með skyndiminni af npm eða GitHub táknum frammi fyrir mikilli áhættu. CI keyrslur sem nota víðtæk leyndarmál eru einnig berskjaldaðar.

Viðskiptaáhætta

Áhrifin á viðskiptin aukast hratt. Stolnir auðkenni geta leitt til yfirtöku reikninga, pakkningaþjófnaðar og jafnvel misnotkunar í skýinu. Þar að auki gerir þrálátleiki í verkflæðum GitHub það erfiðara að hreinsa það. Þess vegna, lið verða að meðhöndla Shai-Hulud sem viðvarandi atvik, ekki lokað.

Hvernig Shai-Hulud framboðskeðjuárásin virkar í npm-pakka

Markmið og hvatir árásarmannsins

Herferðin fínstillir fyrir þrjá hluti:

• Fyrsta markmiðið er að stela persónuskilríkjum í stórum stíl frá fartölvum forritara og keyrslukerfum CI. Þetta felur í sér npm birtingartákn, GitHub-tákn og skýjaupplýsingar. Reyndar staðfesta fjölmargar greiningar kerfisbundna leyndarmálasöfnun, svo sem að keyra TruffleHog og spyrjast fyrir um endapunkta skýjalýsigagna.
• Annað markmiðið er að dreifast sjálfkrafa með því að misnota útgáfuréttindi þeirra sem hafa orðið fyrir áhrifum af sýktum forritum. Þar af leiðandi nær eitt fótfesta fljótt yfir í marga, þar sem nýjar sýktar útgáfur af öðrum pakka birtast án frekari mannlegrar fyrirhafnar.
• Þriðja markmiðið er að haldast við og síast út áreiðanlega í gegnum GitHub innviði. Árásarmenn búa til opinbert geymslurými sem heitir „Shai-Hulud“ með tvöföldum grunni64 gögn.jsonog auk þess planta þeir vinnuflæði sem raðgreinir ${{ toJSON(leyndarmál) }} og sendir það inn á fastan webhook.

Líklega ávinningurinn felur í sér langtíma aðgang að skrám og frumkóða, hraðari hliðarflutning yfir í skýjareikninga og möguleika á að vopna framboðskeðjuna enn frekar. Opinber skýrslugerð sýnir að einkarekin geymslurými hafa verið færð yfir í almenning með... „-flutningur“ viðskeyti, sem eykur gagnaútsetningu og skriðþunga

Inni í Shai-Hulud farminum: bundle.js í npm pakka

Shai-Hulud sendir skip sem stór, Webpack-pakkað og mjög smækkað JavaScript skrá (bundle.js, um 3–3.7 MB) sem keyrir frá a eftir uppsetningu krókinn í pakki.jsonÞar af leiðandi, Hver uppsetning ræsir sjálfkrafa gagnamagnið. Þessi hönnun felur auðkenni, þjappar stjórnflæði og færir alla rökfræði inn í eitt grip sem keyrir við uppsetningu. Sérfræðingar staðfesta stöðugt Webpack-bundling, óvenjulega skráarstærð og keyrslu á uppsetningartíma.

Einkenni sem tengjast ruglingi og greiningarandstöðu sem þú munt sjá í sýnum:

• Smámynd af einingum með tölulegum einingarkennum, dreifðum athugasemdum og flatu stýriflæði., Þessi uppbygging gerir handvirka endurskoðun afar erfiða.
• Strengjafelling í gegnum base64 lög og hjálparforrit fyrir smíði. Til dæmis, Endurtekin base64 kóðun og afkóðun birtist venjulega í kringum útsíunarrútínur.
• Dynamísk sending og yfir meta-stílsmynstur og mynduðu fallhluta, sem gerir kóða kleift að breyta hegðun í keyrslutíma.
• Síun stýrikerfis að kjósa Linux og macOS keyrslu, sérstaklega á CI keyrslum og fartölvum forritara.

Frá hagnýtu sjónarmiði er pakkann mátbundinn. Í ritgerðunum er lýst einingum fyrir uppgötvun stýrikerfa, skannanir á skráakerfum og leyniforritum fyrir git, aðgang að skýja-SDK, aðgerðir á GitHub API og dreifingarvél sem breytir öðrum pakka sem viðhaldsaðilinn á. Reyndar benda bæði StepSecurity og ReversingLabs á virkni sem uppfærir sjálfkrafa pakka með illgjarnri krók.

Keyrsla á uppsetningartíma í Shai-Hulud: Hvernig npm pakkar virkja orminn

Árásin hefst þegar eftiruppsetning keyrir hnút bundle.js. Á þessum tímapunkti frumstillir handritið og afpakkar virka stöðu í minninu, sem setur grunninn að fullri virkni ormsins.

Uppgötvun og uppskera

• Notkunin afritar process.env og skannar staðbundnar skrár í leit að leyndarmálum með háu óreiðu og forskeytum fyrir tákn. Að auki eykur hún umfang skrárinnar með því að keyra TruffleHog.
• Það leitar að endapunktum skýjalýsigagna til að safna skammtímaupplýsingum. Til dæmis, símtöl til 169.254.169.254 á AWS eða metadata.google.internal á GCP birtast oft í sýktum hýslum.
• Þar af leiðandi, Sérhver skilríki sem finnast verða strax nothæf til að birta nýja npm pakka eða ýta á GitHub vinnuflæði.

Úthreinsun

• Ormurinn býr til nýtt GitHub geymslurými sem heitir Shai Hulud og skrifar tvöfalda base64-kóðaða data.json með upplýsingum um kerfið, umhverfisdumpum og leyndarmálum. Eins og sjá má er auðvelt að greina þessa hávaðasömu hegðun ef varnarmenn vita hvert þeir eiga að leita.
• Það plantar einnig GitHub Actions vinnuflæði, oft á grein sem heitir Shai-hulud, sem raðgreinir ${{ toJSON(secrets) }} og sendir gögnin á kyrrstæðan vefhring. Ennfremur helst þetta verkflæði þar til einhver fjarlægir það virkan.

Fjölgun

• Þegar npm-tákn finnst telur gagnagrunnurinn upp alla pakka sem eiga viðkvæman viðhaldsaðila. Síðan sækir hann hverja tar-skrá, sprautar inn bundle.js og postinstall-færslu og endurbirtir pakkann.
• Þar af leiðandi geta tugir sýktra pakka birst á örfáum klukkustundum, sem margfaldar sprengjuradíusinn í vistkerfinu.

Þrávirkni og útsetning

• Ormurinn heldur skaðlegum vinnuflæði lifandi og í nokkrum tilfellum breytir hann einkageymslum í almenningsrými með „-flutningur“ viðskeyti. Í heildina tryggir þetta að árásaraðilinn haldi fótfestu og hámarkar gagnaleka.

Athugasemd um lykilgreiningu
Þessi óvenjulega notkun á ${{ toJSON(secrets) }} Í verkflæðisaðgerðum er sjaldgæft. Því Lið ættu að meðhöndla það sem vísbendingu um mikilvægt merki meðan á veiðum stendur.

Hreinsað vinnuflæðismynstur sem þú ættir að leita að

Þessi óvenjulega notkun á til JSON (leyndarmál) í aðgerðum er vísbending um mikilvægt merki í þessu atviki.

Gervikóði fyrir útbreiðslu á háu stigi (öruggur, lýsandi)