Shai-Hulud: npmパッケージワーム解説

シャイ・フルードサプライチェーン攻撃が経営幹部に及ぼす影響

Shai-Huludは現在も活動しています。このワームは影響のタイムラインを加速させます。かつてトロイの木馬で数週間かかっていたことが、今では数時間で起こります。その結果、 感染拡大はより速く、封じ込めるのがより困難になる。 それは以下の方法で前進します。

• npmの公開トークンとGitHubのシークレットを盗む。
• 他のnpmパッケージに自身を再公開する。
• 永続化のために悪意のあるGitHub Actionsワークフローを追加する。

影響を受ける人:

公開されているnpmパッケージをインストールするチームはすべて脆弱性にさらされます。さらに、キャッシュされたnpmトークンやGitHubトークンを使用している開発者は、高いリスクに直面します。広範囲のシークレットを使用するCIランナーも脆弱です。

ビジネスリスク

ビジネスへの影響は急速に拡大します。盗まれたトークンは、アカウント乗っ取り、パッケージハイジャック、さらにはクラウドの不正利用につながる可能性があります。さらに、GitHubワークフローにおける永続性は、クリーンアップをより困難にします。したがってチームはシャイ・フルード事件を解決済みの事件としてではなく、現在も進行中の事件として扱わなければならない。

npmパッケージにおけるShai-Huludサプライチェーン攻撃の仕組み

攻撃者の目的と動機

このキャンペーンは、以下の3つの点を最適化します。

• 最初の目的は 認証情報を大規模に盗む 開発者のノートパソコンやCIランナーから情報が盗まれています。これには、npmの公開トークン、GitHubトークン、クラウド認証情報などが含まれます。実際、複数の分析で、TruffleHogの実行やクラウドメタデータエンドポイントへのクエリなど、組織的なシークレット情報の収集が確認されています。
• 2つ目の目的は 自動的に伝播する 侵害されたメンテナーの公開権を悪用することで、感染が拡大する。その結果、新たな感染バージョンが人手を介さずに他のパッケージに出現するため、一つの足がかりが瞬く間に多くの感染源へと広がっていく。
• 3つ目の目的は 持続し、確実に排出する GitHubインフラストラクチャを介して、攻撃者は「Shai-Hulud」という名前の公開リポジトリを作成し、二重のbase64エンコードを施します。 データ.jsonさらに、彼らはシリアル化するワークフローを植え付けます。 ${{ toJSON(secrets) }} そしてそれを静的ウェブフックに投稿します。

期待されるメリットには、レジストリとソースコードへの長期アクセス、クラウドアカウントへの迅速な横方向移動、サプライチェーンをさらに武器化するオプションなどが含まれます。公開レポートによると、プライベートリポジトリがパブリックに切り替わり、 「-移住」 データ露出と勢いを高める接尾辞

Shai-Huludペイロードの内部： バンドル.js npmパッケージ

Shai-Hulud は 大規模で、Webpackでバンドルされ、高度にミニファイされています。 JavaScriptファイル (バンドル.js（約3～3.7MB） それは インストール後 フックイン package.json。 その結果, インストールのたびにペイロードが自動的に実行されます。この設計では、識別子を隠蔽し、制御フローを圧縮し、すべてのロジックをインストール時に実行される単一のアーティファクトに集約しています。アナリストは、Webpackによるバンドル、異常なファイルサイズ、およびインストール時の実行を一貫して確認しています。

サンプルに見られる難読化および解析妨害の特徴：

• ミニファイされたモジュールグラフ 数値モジュールID、疎なコメント、フラット化された制御フローを備えています。さらに, この構造では、手動によるレビューが非常に困難になる。
• 文字列の非表示 base64レイヤーと構築ヘルパーを介して。例えば, 繰り返し行われるbase64エンコードとデコードは、通常、データ漏洩処理の周辺で見られます。
• 動的ディスパッチ 　 評価する-スタイルパターンと生成された関数本体により、コードが実行時に動作を変更できるようになります。
• OSフィルタリング 特にCIランナーや開発者用ノートパソコンでは、LinuxとmacOSでの実行を優先する。

機能的な観点から見ると、このバンドルはモジュール式である。 解説記事では、OS検出、ファイルシステムおよびGitシークレットのスキャン、クラウドSDKへのアクセス、GitHub API操作、そしてメンテナーが所有する他のパッケージを編集する伝播エンジンなどのモジュールについて説明しています。実際、StepSecurityとReversingLabsはどちらも、悪意のあるフックを使ってパッケージを自動的に更新する機能を強調しています。

Shai-Huludにおけるインストール時の実行：npmパッケージがワームをトリガーする方法

攻撃は、 postinstall はノードを実行します バンドル.js. この時点で、スクリプトはメモリ内で作業状態を初期化および展開し、ワームの完全な動作のための準備を整えます。

発見と収穫

• このペイロードはprocess.envをダンプし、ローカルファイルをスキャンしてエントロピーの高い秘密情報とトークンプレフィックスを検出します。さらに、TruffleHogを実行することでカバレッジを拡張します。
• クラウドメタデータエンドポイントにクエリを実行して、有効期限の短い認証情報を収集します。 例えば、 への呼び出し 169.254.169.254 AWS 上または metadata.google.internal GCPは感染した宿主によく出現する。
• その結果、 見つかった認証情報は、新しいnpmパッケージの公開やGitHubワークフローのプッシュに即座に使用可能になります。

exfiltration

• ワームは新しいGitHubリポジトリを作成します。 シャイ・ハルード そして、二重のbase64エンコードされた data.json プラットフォームの詳細、環境ダンプ、秘密情報などが含まれています。ご覧のとおり、防御側がどこを探せばよいかを知っていれば、このようなノイズの多い動作は簡単に発見できます。
• また、GitHub Actionsワークフローを、多くの場合、特定の名前のブランチに植え付けます。 シャイ・フルドシリアル化する ${{ toJSON(secrets) }} そして、データを静的なWebhookに送信します。さらに、このワークフローは誰かが明示的に削除するまで継続されます。

伝播

• 検出されたnpmトークンに基づいて、ペイロードは侵害されたメンテナーが所有するすべてのパッケージを列挙します。次に、各tarballを取得し、bundle.jsとpostinstallエントリを挿入して、パッケージを再公開します。
• その結果、感染した荷物が数時間のうちに数十個も出現し、生態系全体における影響範囲が拡大する可能性がある。

粘り強さと露出

• このワームは悪意のあるワークフローを維持し、いくつかのケースではプライベートリポジトリをパブリックリポジトリに切り替えます。 「-移住」 接尾辞。これらすべてにより、攻撃者は足がかりを維持し、データ漏洩を最大化することができます。

鍵検出に関するメモ
この珍しい使い方 ${{ toJSON(secrets) }} Actionsワークフローでは、このようなケースは稀です。 したがって、 チームは、狩猟中にこれを高信号指標として扱うべきである。

探し出すべき、サニタイズされたワークフローパターン

この珍しい使い方 〜へ JSON（秘密情報） この事件において、「行動」は高シグナル指標である。

高レベルの伝播擬似コード（安全で分かりやすい）