שי-חולוד: הסבר על תולעת חבילות ה-npm

ההשפעה הניהולית של מתקפת שרשרת האספקה ​​של שי-חולוד

שי-חולוד עדיין פעילה כיום. תולעת זו מאיצה את ציר הזמן של הפגיעה. מה שלקח פעם שבועות עם טרויאני מתפתח כעת תוך שעות. כתוצאה מכך, ההתפשטות מהירה וקשה יותר להכלה. זה מתקדם על ידי:

• גניבת אסימוני פרסום של npm וסודות GitHub.
• פרסום מחדש של עצמו בחבילות npm אחרות.
• הוספת זרימות עבודה זדוניות של GitHub Actions לצורך שמירה על זמינות.

מי מושפע:

כל צוות שמתקין חבילות npm ציבוריות חשוף. יתר על כן, מפתחים עם טוקנים של npm או GitHub במטמון עומדים בפני סיכון גבוה. רצים של CI המשתמשים בסודות רחבי היקף גם הם פגיעים.

סיכון עסקי

ההשפעה העסקית גדלה במהירות. טוקנים גנובים עלולים להוביל להשתלטות על חשבונות, חטיפת חבילות ואפילו שימוש לרעה בענן. בנוסף, התמדה בזרימות עבודה של GitHub מקשה על ניקוי. לכן, על הקבוצות להתייחס לשי-חולוד כאל אירוע מתמשך, לא כאירוע סגור.

כיצד פועלת מתקפת שרשרת האספקה ​​של שי-חולוד בחבילות npm

מטרות ומניע של התוקף

הקמפיין מותאם לשלושה דברים:

• המטרה הראשונה היא ל גניבת אישורים בקנה מידה גדול ממחשבים ניידים של מפתחים ומ-CI runners. זה כולל אסימוני פרסום של npm, אסימוני GitHub ותעודות ענן. למעשה, ניתוחים מרובים מאשרים קצירת סודות שיטתית, כגון הרצת TruffleHog ושאילתות על נקודות קצה של מטא-דאטה בענן.
• המטרה השנייה היא ל התפשטות אוטומטית על ידי ניצול לרעה של זכויות הפרסום של מתחזקים שנפגעו. כתוצאה מכך, דריסת רגל אחת מתרחבת במהירות להרבה, מכיוון שגרסאות נגועות חדשות של חבילות אחרות מופיעות ללא מאמץ אנושי נוסף.
• המטרה השלישית היא ל להתמיד ולחלץ בצורה אמינה דרך תשתית GitHub. תוקפים יוצרים מאגר ציבורי בשם "שי-חולוד" עם בסיס כפול64 data.json, ובנוסף הם שותלים תהליך עבודה שמסדיר סדרות ${{ toJSON(סודות) }} ושולח אותו ל-webhook סטטי.

התמורה הצפויה כוללת גישה ארוכת טווח לרישומים ולקוד מקור, מעבר רוחבי מהיר לחשבונות ענן, ואפשרות להפוך את שרשרת האספקה ​​לנשק נוספת. דיווחים פומביים מראים כי מאגרים פרטיים הועברו לציבור עם... "-הֲגִירָה" סיומת, אשר מגבירה את חשיפת הנתונים ואת המומנטום

בתוך מטען שי-חולוד: bundle.js בחבילות npm

שי-חולוד שולחת כ גדול, כלול ב-Webpack וממוזער מאוד קובץ ג'אווהסקריפט (bundle.js, בערך 3–3.7 מגה-בייט) שמבוצע מ- לאחר ההתקנה וו ב package.jsonכתוצאה מכך, כל התקנה מפעילה את המטען באופן אוטומטי. עיצוב זה מסתיר מזהים, דוחס את זרימת הבקרה ודוחף את כל הלוגיקה לארטיפקט יחיד שמופעל במהלך ההתקנה. אנליסטים מאשרים באופן עקבי חבילות של Webpack, גודל קובץ חריג וביצוע בזמן ההתקנה.

תכונות של ערפול ואנטי-אנליזה שתראו בדגימות:

• גרף מודולים ממוזער עם מספרי זיהוי מודולים מספריים, הערות דלילות וזרימת בקרה שטוחה יותר., מבנה זה מקשה ביותר על סקירה ידנית.
• הסתרת מחרוזות באמצעות שכבות base64 ועוזרי בנייה. לדוגמה, קידוד ופענוח חוזרים של base64 מופיעים בדרך כלל סביב שגרות חילוץ.
• שיגור דינמי דרך הערכהתבניות -style ויצרו גופי פונקציה, ובכך מאפשרים לקוד לשנות התנהגות בזמן ריצה.
• סינון מערכת הפעלה להעדיף ביצועי לינוקס ו-macOS, במיוחד על רצים של CI ומחשבים ניידים של מפתחים.

מנקודת מבט פונקציונלית, החבילה היא מודולרית. רשימות מתארות מודולים לגילוי מערכת הפעלה, סריקות של מערכת קבצים וסודות git, גישה ל-SDK בענן, פעולות API של GitHub ומנוע הפצה שעורך חבילות אחרות שבבעלות המתחזק. למעשה, StepSecurity ו-ReversingLabs שניהם מדגישים פונקציה שמעדכנת אוטומטית חבילות עם ה-hook הזדוני.

ביצוע בזמן התקנה בשי-חולוד: כיצד חבילות npm מפעילות את התולעת

ההתקפה מתחילה כאשר לאחר ההתקנה מפעילה את הצומת bundle.js. בנקודה זו, הסקריפט מאתחל ומפרק את מצב העבודה בזיכרון, מה שמכין את הבמה לפעולה מלאה של התולעת.

גילוי וקציר

• המטען מבצע dumping של process.env וסורק קבצים מקומיים אחר סודות בעלי אנטרופיה גבוהה וקידומות טוקנים. בנוסף, הוא מרחיב את הכיסוי על ידי הפעלת TruffleHog.
• הוא שואל נקודות קצה של מטא-דאטה בענן כדי לאסוף אישורים קצרי מועד. לדוגמה, קורא ל 169.254.169.254 ב-AWS או metadata.google.internal ב-GCP מופיעים לעיתים קרובות במארחים נגועים.
• כתוצאה מכך, כל אישור שנמצא הופך לשימוש מיידי לפרסום חבילות npm חדשות או לדחיפת זרימות עבודה של GitHub.

exfiltration

• התולעת יוצרת מאגר GitHub חדש בשם שי חולוד וכותב קידוד כפול של base64 data.json עם פרטי פלטפורמה, קבצי סביבה וסודות. כפי שניתן לראות, קל לזהות את ההתנהגות הרועשת הזו אם המגנים יודעים היכן לחפש.
• זה גם שותל זרימת עבודה של GitHub Actions, לעתים קרובות על ענף בשם שי-חולוד, שמסדי את הסדרה ${{ toJSON(secrets) }} ושולח את הנתונים ל-webhook סטטי. יתר על כן, תהליך עבודה זה נמשך עד שמישהו מסיר אותו באופן פעיל.

רביה

• עם כל אסימון npm שהתגלה, המטען מונה את כל החבילות שבבעלות המתחזק שנפגע. לאחר מכן, הוא מאחזר כל קובץ tarball, מזריק bundle.js וערך postinstall, ומפרסם מחדש את החבילה.
• כתוצאה מכך, עשרות חבילות נגועות יכולות להופיע תוך שעות ספורות, מה שמכפיל את רדיוס הפיצוץ ברחבי המערכת האקולוגית.

התמדה וחשיפה

• התולעת שומרת על זרימות עבודה זדוניות בחיים, ובמקרים מסוימים, הופכת מאגרים פרטיים לציבוריים בעזרת "-הֲגִירָה" סיומת. בסך הכל, זה מבטיח שהתוקף ישמור על דריסת רגל וממקסם את דליפת הנתונים.

הערה לזיהוי מפתחות
שימוש יוצא דופן זה של ${{ toJSON(secrets) }} זרימות עבודה בפעולות הן נדירות. לכן, צוותים צריכים להתייחס לזה כאל אינדיקטור איתות גבוה במהלך ציד.

דפוס זרימת עבודה מחוטא שכדאי לחפש

שימוש יוצא דופן זה של ל JSON (סודות) "in Actions" הוא אינדיקטור איתות גבוה בתקרית זו.

פסאודו-קוד להפצה ברמה גבוהה (בטוח, תיאורי)