Шай-Хулуд: npm пакеттерінің құртының түсіндірмесі

Шай-Хулуд жеткізу тізбегіне шабуылдың атқарушы әсері

Шай-Хулуд бүгін де белсенді. Бұл құрт әсер ету уақытын жылдамдатады. Бұрын троянмен бірнеше апта жұмыс істеген нәрсе қазір бірнеше сағат ішінде жүзеге асады. Нәтижесінде, таралуы жылдамырақ және оны бақылау қиынырақ. Ол келесі жолдармен дамиды:

• npm жариялау токендерін және GitHub құпияларын ұрлау.
• Басқа npm пакеттеріне қайта жариялануда.
• Тұрақтылық үшін зиянды GitHub Actions жұмыс ағындарын қосу.

Кім зардап шегеді:

Ашық npm пакеттерін орнататын кез келген команда қауіпке ұшырайды. Сонымен қатар, кэштелген npm немесе GitHub токендері бар әзірлеушілер жоғары тәуекелге тап болады. Кең ауқымды құпияларды пайдаланатын CI жүгірушілері де осал.

Іскерлік тәуекел

Бизнеске әсері тез өседі. Ұрланған токендер тіркелгіні басып алуға, пакеттерді ұрлауға және тіпті бұлтты дұрыс пайдаланбауға әкелуі мүмкін. Сонымен қатар, GitHub жұмыс процестеріндегі тұрақтылық тазалауды қиындатады. Сондықтан, командалар Шай-Хулудты жабық емес, үздіксіз болып жатқан оқиға ретінде қарастыруы керек.

Шай-Хулуд жеткізу тізбегіне шабуыл npm пакеттерінде қалай жұмыс істейді

Шабуылдаушының мақсаттары мен мотивтері

Науқан үш нәрсені оңтайландырады:

• Бірінші мақсат – ауқымды түрде сенім грамоталарын ұрлау әзірлеуші ​​ноутбуктарынан және CI жүгірушілерінен. Бұған npm жариялау токендері, GitHub токендері және бұлттық тіркелгі деректері кіреді. Шын мәнінде, бірнеше талдаулар TruffleHog іске қосу және бұлттық метадеректерді сұрау сияқты жүйелі құпия жинауды растайды.
• Екінші мақсат – автоматты түрде таралады бұзылған қызмет көрсетушілердің жариялау құқықтарын теріс пайдалану арқылы. Нәтижесінде, бір тірек тез арада көптеген пакеттерге таралады, себебі басқа пакеттердің жаңа жұқтырылған нұсқалары қосымша адам күшінсіз пайда болады.
• Үшінші мақсат – сенімді түрде сақталады және сүзіп шығарылады GitHub инфрақұрылымы арқылы. Шабуылдаушылар қос базалы «Shai-Hulud» атты қоғамдық репозиторий жасайды64 data.json, және сонымен қатар олар серияланатын жұмыс процесін орнатады ${{ toJSON(secrets) }} және оны статикалық веб-хукқа орналастырады.

Мүмкін болатын нәтижеге тізілімдер мен бастапқы кодқа ұзақ мерзімді қол жеткізу, бұлттық тіркелгілерге жылдам бүйірлік көшу және жеткізу тізбегін одан әрі қаруландыру мүмкіндігі кіреді. Жария есеп беру жеке репозиторийлердің жарияға айналдырылғанын көрсетеді «-миграция» деректер экспозициясын және импульсін арттыратын жұрнақ

Шай-Хулуд жүк көлігінің ішінде: bundle.js npm пакеттерінде

Шай-Хулуд кемелерімен үлкен, веб-пакеттерге біріктірілген және қатты минификацияланған JavaScript файлы (bundle.js, шамамен 3–3.7 МБ) бастап орындалады орнатудан кейінгі ілмек пакет.jsonНәтижесінде, Әрбір орнату пайдалы жүктемені автоматты түрде іске қосады. Бұл дизайн идентификаторларды жасырады, басқару ағынын қысады және барлық логиканы орнату кезінде орындалатын бір артефактқа итереді. Сарапшылар Webpack бумаларын, ерекше файл өлшемін және орнату уақытының орындалуын үнемі растайды.

Үлгілерде көрінетін обфускация және талдауға қарсы белгілер:

• Минифицирленген модульдік график сандық модуль идентификаторларымен, сирек түсініктемелермен және тегістелген басқару ағынымен. Сонымен қатар, бұл құрылым қолмен шолуды өте қиындатады.
• Жіпті жасыру base64 қабаттары және құрылыс көмекшілері арқылы. Мысалы, base64 кодтау және декодтау әдетте эксфильтрация процедураларының айналасында пайда болады.
• Динамикалық жіберу арқылы бағалау-style үлгілері және генерацияланған функция денелері, осылайша кодтың орындалу уақытында мінез-құлықты өзгертуіне мүмкіндік береді.
• ОС сүзгісі Linux және macOS жүйелерін, әсіресе CI жүгірушілері мен әзірлеуші ​​​​ноутбуктарында орындауды жөн көру.

Функционалдық тұрғыдан алғанда, жиынтық модульдік болып табылады. Writeups операциялық жүйені анықтау, файлдық жүйе және git құпия сканерлеу, бұлттық SDK қатынасы, GitHub API операциялары және қолдаушыға тиесілі басқа пакеттерді өңдейтін тарату қозғалтқышы үшін модульдерді сипаттайды. Шын мәнінде, StepSecurity және ReversingLabs екеуі де зиянды ілмекпен пакеттерді автоматты түрде жаңартатын функцияны ерекшелейді.

Shai-Hulud бағдарламасында орнату уақытын орындау: npm пакеттері құртты қалай іске қосады

Шабуыл қашан басталады postinstall түйінін іске қосады bundle.js. Осы кезде скрипт жадтағы жұмыс күйін инициализациялайды және ашады, бұл құрттың толық жұмыс істеуіне негіз болады.

Ашу және жинау

• Пайдалы жүктеме process.env файлын жүктейді және жергілікті файлдарды жоғары энтропиялық құпиялар мен токен префикстерін сканерлейді. Сонымен қатар, ол TruffleHog іске қосу арқылы қамту аясын кеңейтеді.
• Ол қысқа мерзімді тіркелгі деректерін жинау үшін бұлттық метадеректер нүктелерінен сұрау салады. Мысалы, қоңыраулар 169.254.169.254 AWS жүйесінде немесе metadata.google.internal GCP-де көбінесе жұқтырған хосттарда пайда болады.
• Демек, Табылған кез келген тіркелгі деректері жаңа npm пакеттерін жариялау немесе GitHub жұмыс процестерін іске қосу үшін дереу пайдалануға болады.

Эксфильтрация

• Құрт GitHub атты жаңа репозиторий жасайды. Шай Хулуд және қос base64-кодталған деп жазады data.json платформа мәліметтерімен, қоршаған ортаның қалдықтарымен және құпиялармен. Көріп отырғаныңыздай, қорғаушылар қайда қарау керектігін білсе, бұл шулы мінез-құлықты байқау оңай.
• Сондай-ақ, ол көбінесе GitHub Actions жұмыс ағынын ... деп аталатын тармаққа орналастырады. шай-хулуд, бұл серияланады ${{ toJSON(secrets) }} және деректерді статикалық веб-хукқа орналастырады. Сонымен қатар, бұл жұмыс процесі біреу оны белсенді түрде жойғанша сақталады.

Таралуы

• Кез келген npm токені анықталған кезде, пайдалы жүктеме бұзылған қолдаушыға тиесілі барлық пакеттерді санайды. Содан кейін ол әрбір tarball файлын алып, bundle.js және postinstall жазбасын енгізеді және пакетті қайта жариялайды.
• Нәтижесінде, бірнеше сағат ішінде ондаған жұқтырған пакеттер пайда болуы мүмкін, бұл экожүйедегі жарылыс радиусын көбейтеді.

Тұрақтылық және әсер ету

• Құрт зиянды жұмыс процестерін белсенді ұстайды және бірнеше жағдайда жеке репозиторийлерді public-ке ауыстырады «-миграция» жұрнақ. Жалпы алғанда, бұл шабуылдаушының тірек орнын сақтауын және деректердің ағып кетуін барынша арттыруын қамтамасыз етеді.

Негізгі анықтау туралы ескертпе
Бұл ерекше қолданыс ${{ toJSON(secrets) }} Әрекеттерде жұмыс процестері сирек кездеседі. Сондықтан, Командалар оны аң аулау кезінде жоғары сигналдық индикатор ретінде қарастыруы керек.

Сіз іздеуіңіз керек тазартылған жұмыс процесінің үлгісі

Бұл ерекше қолданыс дейін JSON(құпиялар) in Actions бұл оқиғадағы жоғары сигналдық индикатор болып табылады.

Жоғары деңгейлі тарату псевдокоды (қауіпсіз, сипаттамалық)