Shai-Hulud: npm 패키지 웜에 대한 설명

샤이훌루드 공급망 공격이 경영진에 미치는 영향

Shai-Hulud는 오늘날에도 여전히 활동 중입니다. 이 웜은 영향 확산 시간을 단축시킵니다. 트로이목마의 경우 몇 주가 걸리던 일이 이제는 몇 시간 만에 발생합니다. 결과적으로, 확산 속도가 빠르고 통제하기가 더 어렵습니다. 다음과 같은 방식으로 진행됩니다:

• npm publish 토큰과 GitHub 비밀 키를 훔치는 행위.
• 다른 npm 패키지에 자체적으로 다시 게시합니다.
• 지속성을 위해 악성 GitHub Actions 워크플로를 추가합니다.

영향을 받는 사람:

공개 npm 패키지를 설치하는 모든 팀은 취약점에 노출됩니다. 또한, npm 또는 GitHub 토큰을 캐시하는 개발자는 높은 위험에 직면하게 됩니다. 광범위한 범위의 비밀 키를 사용하는 CI 실행기도 취약합니다.

사업 위험

비즈니스에 미치는 영향은 빠르게 커집니다. 도난당한 토큰은 계정 탈취, 패키지 하이재킹, 심지어 클라우드 오용으로 이어질 수 있습니다. 또한 GitHub 워크플로의 지속성으로 인해 정리가 더욱 어려워집니다. 따라서따라서 각 팀은 샤이-훌루드 사건을 종결된 사건이 ​​아닌 진행 중인 사건으로 다뤄야 합니다.

Shai-Hulud의 npm 패키지 공급망 공격은 어떻게 작동하는가

공격자의 목표와 동기

이 캠페인은 다음 세 가지를 최적화합니다.

• 첫 번째 목표는 다음과 같습니다. 대규모로 자격 증명을 탈취하세요 개발자 노트북과 CI 실행기에서 수집된 정보입니다. 여기에는 npm 게시 토큰, GitHub 토큰, 클라우드 자격 증명이 포함됩니다. 실제로 여러 분석 결과, TruffleHog 실행 및 클라우드 메타데이터 엔드포인트 조회와 같은 체계적인 비밀 키 수집이 확인되었습니다.
• 두 번째 목표는 다음과 같습니다. 자동으로 전파됨 해킹당한 관리자의 게시 권한을 악용함으로써 발생합니다. 결과적으로, 새로운 감염된 버전의 다른 패키지가 추가적인 사람의 노력 없이 나타나면서 하나의 발판이 빠르게 여러 곳으로 확산됩니다.
• 세 번째 목표는 다음과 같습니다. 지속적으로 유지되고 안정적으로 유출됩니다. GitHub 인프라를 통해 공격자는 이중 base64 인코딩을 사용하는 "Shai-Hulud"라는 이름의 공개 저장소를 생성합니다. 데이터.json또한, 그들은 직렬화하는 워크플로우를 구축합니다. ${{ toJSON(secrets) }} 그리고 해당 데이터를 정적 웹훅에 게시합니다.

예상되는 이점으로는 레지스트리와 소스 코드에 대한 장기적인 접근 권한, 클라우드 계정으로의 빠른 이동, 그리고 공급망을 더욱 악용할 수 있는 옵션이 있습니다. 공개된 보고서에 따르면 비공개 저장소가 공개 저장소로 전환되는 사례가 있습니다. "-이주" 데이터 노출과 모멘텀을 증가시키는 접미사

샤이훌루드 페이로드 내부: 번들.js npm 패키지에서

샤이훌루드는 다음과 같은 선박으로 운항합니다. 용량이 크고, Webpack으로 번들링되었으며, 대폭 축소되었습니다. 자바스크립트 파일 (번들.js(약 3~3.7MB) 다음에서 실행되는 설치 후 후크 인 package.json따라서, 모든 설치 과정에서 페이로드가 자동으로 실행됩니다. 이러한 설계는 식별자를 숨기고, 제어 흐름을 압축하며, 모든 로직을 설치 중에 실행되는 단일 아티팩트에 통합합니다. 분석가들은 Webpack 번들링, 비정상적인 파일 크기, 설치 시 실행 등의 현상을 일관되게 확인했습니다.

샘플에서 볼 수 있는 모호화 및 분석 방지 특성:

• 축소된 모듈 그래프 숫자 모듈 ID, 간략한 주석, 그리고 평면화된 제어 흐름을 특징으로 합니다. 또한,, 이러한 구조는 수동 검토를 매우 어렵게 만듭니다.
• 문자열 숨기기 base64 레이어와 구성 도우미를 통해. 예를 들면., 반복적인 base64 인코딩 및 디코딩은 일반적으로 데이터 유출 루틴 주변에서 나타납니다.
• 동적 배차 을 통하여 평가-스타일 패턴 및 생성된 함수 본문을 통해 런타임에 코드의 동작을 변경할 수 있습니다.
• OS 필터링 특히 CI 실행기 및 개발자 노트북에서는 Linux 및 macOS 실행 환경을 선호합니다.

기능적인 관점에서 볼 때, 이 번들은 모듈식입니다. 보고서에는 OS 검색, 파일 시스템 및 Git 비밀 키 스캔, 클라우드 SDK 접근, GitHub API 작업, 그리고 관리자가 소유한 다른 패키지를 수정하는 전파 엔진을 위한 모듈에 대한 설명이 포함되어 있습니다. 실제로 StepSecurity와 ReversingLabs는 모두 악성 후크를 사용하여 패키지를 자동으로 업데이트하는 기능을 강조합니다.

Shai-Hulud의 설치 시 실행: npm 패키지가 웜을 작동시키는 방법

공격은 다음과 같은 시점에 시작됩니다. postinstall은 노드를 실행합니다. 번들.js. 이 시점에서 스크립트는 메모리에 작업 상태를 초기화하고 압축을 해제하여 웜의 완전한 작동을 위한 기반을 마련합니다.

발견과 수확

• 이 페이로드는 process.env 파일을 덤프하고 로컬 파일에서 높은 엔트로피의 비밀 키와 토큰 접두사를 검색합니다. 또한 TruffleHog를 실행하여 검사 범위를 확장합니다.
• 이 기능은 클라우드 메타데이터 엔드포인트에 쿼리를 보내 단기 자격 증명을 수집합니다. 예를 들어, 에 전화 169.254.169.254 AWS에서 또는 metadata.google.internal GCP에서 발생하는 문제는 감염된 호스트에서 흔히 나타납니다.
• 따라서, 발견된 모든 자격 증명은 즉시 새로운 npm 패키지를 게시하거나 GitHub 워크플로를 푸시하는 데 사용할 수 있습니다.

여과

• 웜은 라는 이름의 새로운 GitHub 저장소를 생성합니다. 샤이후루드 그리고 base64로 인코딩된 이중 값을 씁니다. data.json 플랫폼 세부 정보, 환경 덤프 및 비밀 정보가 포함됩니다. 보시다시피, 이러한 시끄러운 동작은 방어자가 어디를 살펴봐야 하는지 알고 있다면 쉽게 발견할 수 있습니다.
• 또한 GitHub Actions 워크플로를 생성하는데, 이는 대개 특정 이름의 브랜치에 적용됩니다. 샤이-훌루드직렬화하는 ${{ toJSON(secrets) }} 그리고 해당 데이터를 정적 웹훅에 게시합니다. 또한, 이 워크플로는 누군가가 직접 삭제할 때까지 지속됩니다.

번식

• 발견된 npm 토큰을 이용하면, 페이로드는 해당 패키지 관리자가 소유한 모든 패키지를 열거합니다. 그런 다음 각 tarball을 가져와 bundle.js 파일과 postinstall 항목을 삽입하고 패키지를 다시 게시합니다.
• 그 결과, 감염된 패키지가 단 몇 시간 만에 수십 개 나타나 생태계 전반에 걸쳐 파급 효과가 확산될 수 있습니다.

지속성 및 노출

• 이 웜은 악성 워크플로우를 계속 실행시키고, 여러 경우에 개인 저장소를 공개 저장소로 전환합니다. "-이주" 접미사. 이 모든 것을 통해 공격자는 발판을 유지하고 데이터 유출을 극대화할 수 있습니다.

주요 감지 참고 사항
이 특이한 사용법 ${{ toJSON(secrets) }} Actions 워크플로에서는 이러한 경우가 드뭅니다. 따라서, 수색팀은 이를 사냥 중 강력한 신호로 간주해야 합니다.

정리된 워크플로 패턴을 찾아보세요

이 특이한 사용법 에 JSON(비밀) 이번 사건에서 '조치'는 매우 중요한 신호입니다.

고수준 전파 의사 코드(안전하고 설명적임)