Shai-Hulud: Şirovekirina kurmê pakêtên npm

Bandora Rêveberiyê ya Êrîşa Zincîra Dabînkirinê ya Şay-Hulud

Shai-Hulud îro jî çalak e. Ev kurm dema bandorê leztir dike. Tiştê ku berê bi trojanekê re bi hefteyan digirt, niha di çend saetan de diqewime. Di encamê de, belavbûn zûtir û kontrolkirina wê dijwartir e. Ew bi rêya van rêbazan pêşve diçe:

• Dizîna tokenên weşana npm û razên GitHub.
• Xwe di pakêtên npm yên din de ji nû ve diweşîne.
• Ji bo domdariyê, herikînên kar ên GitHub Actions ên zirardar lê zêde dike.

Kî bandor dibe:

Her tîmek ku pakêtên npm yên giştî saz dike, rastî xetereyê tê. Wekî din, pêşdebirên ku xwediyê tokenên npm an GitHub ên cached in, bi xetereyek mezin re rû bi rû ne. Gerînendeyên CI yên ku razên berfireh bikar tînin jî xeternak in.

Rîska karsaziyê

Bandora karsaziyê bi lez mezin dibe. Tokenên dizî dikarin bibin sedema desteserkirina hesabê, revandina pakêtan, û heta bikaranîna xelet a ewr. Wekî din, mayîndebûna di karûbarên GitHub de paqijkirina wê dijwartir dike. Ji ber vê yekê, tîm divê Şay-Hulud wek bûyerek berdewam bihesibînin, ne wek bûyerek dawî.

Êrîşa Zincîra Dabînkirinê ya Shai-Hulud çawa di pakêtên npm de dixebite

Armanc û motîvasyona êrîşkar

Kampanya ji bo sê tiştan çêtirîn dike:

• Armanca yekem ew e ku dizîna bawernameyan bi pîvanek mezin ji laptopên pêşdebiran û xebitandinên CI. Ev nîşanên weşana npm, nîşanên GitHub, û bawernameyên ewr vedihewîne. Bi rastî, gelek analîz berhevkirina veşartî ya sîstematîk piştrast dikin, wekî xebitandina TruffleHog û lêpirsîna xalên dawî yên metadata ewr.
• Armanca duyemîn ew e ku bixweber belav bibe bi îstismarkirina mafên weşanê yên parastvanên xeternak. Di encamê de, yek pêgehek zû berfireh dibe û dibe gelek, ji ber ku guhertoyên nû yên vegirtî yên pakêtên din bêyî hewldana mirovî ya zêde derdikevin holê.
• Armanca sêyemîn ew e ku berdewam bike û bi awayekî pêbawer derxe bi rêya binesaziya GitHub. Êrîşkar depoyek giştî bi navê "Shai-Hulud" bi bingehek ducarî çêdikin64 data.json, û ji bilî vê, ew karekî diçînin ku rêzefîlm dike ${{ boJSON(raz) }} û wê li ser webhookek statîk dişîne.

Di nav qezencên muhtemel de gihîştina demdirêj a qeyd û koda çavkaniyê, tevgera bilez a lateral nav hesabên ewr, û vebijarka çekdarkirina zincîra dabînkirinê bêtir hene. Raporên giştî nîşan didin ku depoyên taybet bi ... ji bo raya giştî hatine veguheztin. "-koçberî" paşgir, ku eşkerekirina daneyan û momentûmê zêde dike

Di hundirê Barkêşiya Shai-Hulud de: bundle.js di Pakêtên npm de

Şai-Hulud wekî keştî dişîne mezin, bi pakêta Webpackê ve girêdayî û pir kêmkirî pelê JavaScript (bundle.js, nêzîkî 3–3.7 MB) ku ji a pêk tê piştî sazkirinê têketin pakêt.jsonDi encamê de, her sazkirin barkêşiyê bixweber çalak dike. Ev sêwiran nasnameyan vedişêre, herikîna kontrolê ditepisîne, û hemî mantiqê dixe nav yek berhema ku di dema sazkirinê de tê xebitandin. Analîst bi berdewamî pakkirina Webpack, mezinahiya pelê ya neasayî, û pêkanîna dema sazkirinê piştrast dikin.

Taybetmendiyên tevizandin û dij-analîzê ku hûn ê di nimûneyan de bibînin:

• Grafîka modulê ya biçûkkirî bi nasnameyên modulên hejmarî, şîroveyên kêm, û herikîna kontrolê ya daketî. Ji bilî vê, Ev avahî nirxandina destî pir dijwar dike.
• Veşartina têlan bi rêya qatên base64 û alîkarên avakirinê. Bo nimûne, Kodkirin û dekodkirina dubarekirî ya base64 bi gelemperî li dora rûtînên derxistinê xuya dibin.
• Şandina dînamîk bi saya evalşablonên -style û laşên fonksiyonên çêkirî, ji ber vê yekê dihêle ku kod di dema xebitandinê de tevgerê biguhezîne.
• Fîlterkirina OS-ê tercîhkirina xebitandina Linux û macOS-ê, nemaze li ser bikarhênerên CI û laptopên pêşdebiran.

Ji hêla fonksiyonel ve, panel modular e. Nivîsar modulên ji bo kifşkirina OS, skanên veşartî yên pergala pelan û git, gihîştina SDK-ya ewr, operasyonên GitHub API, û motorek belavbûnê ku pakêtên din ên ku xwediyê wan parastvan e diguherîne, vedibêjin. Bi rastî, StepSecurity û ReversingLabs her du jî fonksiyonek ronî dikin ku pakêtên bi çengela xerabkar bixweber nûve dike.

Bicîhanîna Dema Sazkirinê di Shai-Hulud de: Pakêtên npm çawa kurmê çalak dikin

Êrîş wê demê dest pê dike piştî sazkirinê girêkê dimeşîne bundle.js. Di vê gavê de, skrîpt rewşa xebatê di bîrê de dest pê dike û vedike, û rê li ber xebata tevahî ya kurmê vedike.

Vedîtin û berhevkirin

• Barkêş process.env datîne û pelên herêmî ji bo razên bi entropiya bilind û pêşgirên nîşanekan dişopîne. Wekî din, bi xebitandina TruffleHog berfirehiya mijarê fireh dike.
• Ew ji xalên dawî yên metadataya ewr lêpirsîn dike da ku bawernameyên temenkurt berhev bike. Bo nimûne, bang li 169.254.169.254 li ser AWS an jî metadata.google.internal li ser GCP bi gelemperî di mêvandarên vegirtî de xuya dibin.
• Ji ber vê yekê, her bawernameyek ku were dîtin tavilê ji bo weşandina pakêtên npm yên nû an jî pêşvebirina herikên xebatê yên GitHub-ê tê bikar anîn.

Exfiltration

• Kurm depoyek nû ya GitHub-ê bi navê Shai Hulud û kodkirineke ducarî ya bi base64 dinivîse. data.json bi hûrguliyên platformê, daneyên jîngehê û razên veşartî. Wekî ku tê dîtin, ev tevgera bi deng hêsan tê dîtin ger parêzvan bizanin li ku bigerin.
• Ew her weha karîgeriyek GitHub Actions diçîne, pir caran li ser şaxek bi navê şay-hulud, ku rêzefîlm dike ${{ toJSON(secrets) }} û daneyan li ser webhookek statîk dişîne. Wekî din, ev herikîna kar berdewam dike heya ku kesek bi awayekî çalak wê jê bibe.

Propagasyon

• Bi her nîşaneya npm ya kifşkirî re, barkêş hemî pakêtên ku xwediyê wan parastvanê tahrîbkirî ne navnîş dike. Dûv re, ew her tarballê tîne, bundle.js û têketinek piştî sazkirinê derzî dike, û pakêtê ji nû ve diweşîne.
• Di encamê de, di nav çend demjimêran de bi dehan pakêtên vegirtî dikarin xuya bibin, û rêjeya teqînê li seranserê ekosîstemê zêde bikin.

Berdewamî û eşkerekirin

• Ev kurm herikên kar ên zirardar zindî dihêle û di gelek rewşan de, depoyên taybet bi a veguhezîne giştî. "-koçberî" paşgir. Bi tevahî, ev yek piştrast dike ku êrîşkar lingê xwe diparêze û rijandina daneyan herî zêde dike.

Nîşeya tespîtkirina mifteyê
Ev bikaranîna neasayî ya ${{ toJSON(secrets) }} di herikînên xebatê yên Çalakiyan de kêm e. Ji ber vê yekê, divê tîm di dema nêçîrê de wê wekî nîşaneyek sînyala bilind bihesibînin.

Şêweya karê paqijkirî ku divê hûn lê bigerin

Ev bikaranîna neasayî ya ber JSON (nehênî) di Çalakiyan de di vê bûyerê de nîşaneyek sînyala bilind e.

Koda belavbûna asta bilind a pseudo-kodê (ewle, raveker)