Шай-Хулуд: npm пакеттериндеги курттун түшүндүрмөсү

Шай-Хулуд камсыздоо чынжырына кол салуунун аткаруу бийлигине тийгизген таасири

Шай-Хулуд бүгүнкү күндө дагы эле активдүү. Бул курт таасирдин убактысын тездетет. Мурда троян менен бир нече жумага созулган нерсе азыр бир нече сааттын ичинде ишке ашат. Натыйжада, жайылышын тезирээк жана токтотуу кыйыныраак. Ал төмөнкүлөр аркылуу алдыга жылат:

• npm жарыялоо токендерин жана GitHub сырларын уурдоо.
• Өзүн башка npm пакеттерине кайра жарыялоо.
• Туруктуулук үчүн зыяндуу GitHub Actions жумуш агымдарын кошуу.

Ким жабыркайт:

Коомдук npm пакеттерин орноткон ар бир команда коркунучка кабылат. Андан тышкары, кэштелген npm же GitHub токендерине ээ иштеп чыгуучулар жогорку тобокелчиликке туш болушат. Кеңири масштабдуу сырларды колдонгон CI чуркоочулары да аялуу болушат.

Бизнес тобокелдиги

Бизнеске тийгизген таасири тездик менен өсөт. Уурдалган токендер аккаунтту басып алууга, пакеттерди уурдоого жана ал тургай булутту туура эмес колдонууга алып келиши мүмкүн. Мындан тышкары, GitHub жумуш агымдарынын сакталып калышы тазалоону кыйындатат. Ошондуктан, командалар Шай-Хулуд окуясын жабык окуя катары эмес, уланып жаткан окуя катары кабыл алышы керек.

Шай-Хулуд жеткирүү чынжырынын чабуулу npm пакеттеринде кантип иштейт

Чабуулчунун максаттары жана мотиви

Кампания үч нерсени оптималдаштырат:

• Биринчи максат масштабдуу түрдө ишеним грамоталарын уурдоо иштеп чыгуучу ноутбуктардан жана CI Runnersтен. Буга npm жарыялоо токендери, GitHub токендери жана булуттагы грамоталары кирет. Чындыгында, бир нече талдоо TruffleHog иштетүү жана булут метадайындарынын акыркы чекиттерине суроо берүү сыяктуу системалуу жашыруун чогултууну тастыктайт.
• Экинчи максат - автоматтык түрдө жайылтуу бузулган тейлөөчүлөрдүн жарыялоо укуктарын кыянаттык менен пайдалануу менен. Натыйжада, бир таяныч тез эле көптөгөн пакеттерге жайылат, анткени башка пакеттердин жаңы вирус жуккан версиялары кошумча адамдык күч-аракет жумшабастан пайда болот.
• Үчүнчү максат - ишенимдүү түрдө сакталып, фильтрацияланат GitHub инфраструктурасы аркылуу. Чабуулчулар кош базалуу "Шай-Хулуд" деп аталган коомдук репозиторду түзүшөт64 data.json, жана андан тышкары, алар сериялаштыруучу жумуш агымын орнотушат ${{ toJSON(сырлар) }} жана аны статикалык вебхукка жайгаштырат.

Кыязы, натыйжасы реестрлерге жана баштапкы коддорго узак мөөнөттүү мүмкүнчүлүктү, булут аккаунттарына тез капталдан өтүүнү жана жеткирүү чынжырын андан ары куралдандыруу мүмкүнчүлүгүн камтыйт. Коомдук отчеттор жеке репозиторийлердин коомчулукка ачыкка чыгарылганын көрсөтөт. «-миграция» маалыматтардын ачыктыгын жана импульсун жогорулатуучу суффикс

Шай-Хулуд жүкүнүн ичинде: bundle.js npm пакеттеринде

Шай-Хулуд кемелери чоң, веб-пакетке бириктирилген жана өтө минификацияланган JavaScript файлы (bundle.js, болжол менен 3–3.7 МБ) ал баштап аткарат орнотуудан кийинки илгичке илүү package.jsonНатыйжада., Ар бир орнотуу пайдалуу жүктөмдү автоматтык түрдө иштетет. Бул дизайн идентификаторлорду жашырат, башкаруу агымын кысат жана бардык логиканы орнотуу учурунда аткарылуучу бир артефактка түртөт. Аналитиктер Webpack топтомун, адаттан тыш файл өлчөмүн жана орнотуу убактысынын аткарылышын дайыма тастыкташат.

Үлгүлөрдөн көрө турган бүдөмүктөлүш жана анализге каршы белгилер:

• Минификацияланган модулдук график сандык модулдардын идентификаторлору, сейрек комментарийлер жана тегизделген башкаруу агымы менен. Андан тышкары, бул түзүлүш кол менен карап чыгууну өтө кыйындатат.
• Жипти жашыруу base64 катмарлары жана курулуш жардамчылары аркылуу. Мисалы, кайталанган base64 коддоо жана декоддоо, адатта, эксфильтрациялоо процедураларынын айланасында пайда болот.
• Динамикалык жөнөтүү аркылуу баалоо-style үлгүлөрү жана түзүлгөн функциялардын денелери, ошондуктан кодго иштөө учурунда жүрүм-турумду өзгөртүүгө мүмкүндүк берет.
• ОС чыпкалоо айрыкча CI иштеткичтеринде жана иштеп чыгуучу ноутбуктарда Linux жана macOS'тун иштешин артык көрүү.

Функционалдык жактан алганда, байлам модулдук. Writeup'тар ОСти табуу, файл системасын жана git жашыруун сканерлөө, булут SDK мүмкүнчүлүгү, GitHub API операциялары жана тейлөөчүгө таандык башка пакеттерди түзөтүүчү жайылтуу кыймылдаткычы үчүн модулдарды сүрөттөйт. Чындыгында, StepSecurity жана ReversingLabs экөө тең зыяндуу илгич менен пакеттерди автоматтык түрдө жаңыртуучу функцияны белгилешет.

Шай-Хулудда орнотуу убактысын аткаруу: npm пакеттери куртту кантип иштетет

Кол салуу качан башталат postinstall түйүнүн иштетет bundle.js. Бул учурда, скрипт эс тутумдагы жумушчу абалды инициализациялайт жана ачат, бул курттун толук иштешине шарт түзөт.

Ачылыш жана түшүм жыйноо

• Пайдалуу жүктөм process.env файлын жүктөп алып, жергиликтүү файлдарды жогорку энтропиялык сырларды жана токен префикстерин сканерлейт. Мындан тышкары, ал TruffleHog программасын иштетүү менен камтуу аймагын кеңейтет.
• Ал кыска мөөнөттүү ишеним грамоталарын чогултуу үчүн булут метадайындарынын акыркы чекиттерин сурайт. Мисалы үчүн, чалуулар 169.254.169.254 AWS'те же metadata.google.internal GCPде көбүнчө инфекцияланган хосттордо пайда болот.
• Демек, Табылган ар кандай тастыктоо маалыматтары жаңы npm пакеттерин жарыялоо же GitHub жумуш агымдарын иштетүү үчүн дароо колдонууга жарамдуу болуп калат.

Эксфильтрация

• Курт GitHub деп аталган жаңы репозиторий түзөт Шай Хулуд жана кош base64 менен коддолгон деп жазат data.json платформанын чоо-жайы, айлана-чөйрөнүн калдыктары жана сырлары менен. Көрүнүп тургандай, эгерде коргоочулар кайда кароону билишсе, бул ызы-чуулуу жүрүм-турумду оңой эле байкаса болот.
• Ошондой эле, ал көбүнчө аталган бутакчага GitHub Actions жумуш агымын орнотот шай-хулуд, ал сериялаштырат ${{ toJSON(secrets) }} жана маалыматтарды статикалык вебхукка жайгаштырат. Андан тышкары, бул жумуш агымы кимдир бирөө аны активдүү түрдө алып салганга чейин сакталып калат.

Көбөйтүү

• Ар кандай табылган npm токени менен, пайдалуу жүктөм бузулган тейлөөчүгө таандык бардык пакеттерди санап чыгат. Андан кийин, ал ар бир tarball файлын алып, bundle.js жана postinstall жазуусун киргизип, пакетти кайра жарыялайт.
• Натыйжада, бир нече сааттын ичинде ондогон инфекцияланган пакеттер пайда болуп, экосистемадагы жарылуу радиусун көбөйтүшү мүмкүн.

Туруктуулук жана таасир

• Курт зыяндуу жумуш агымдарын иштетип турат жана бир нече учурларда жеке репозиторийлерди жалпыга ачыкка которот «-миграция» суффикс. Жалпысынан алганда, бул чабуулчунун таянычын сактап калышын жана маалыматтардын агып кетишин максималдуу түрдө жогорулатышын камсыз кылат.

Негизги аныктоо эскертүүсү
Бул адаттан тыш колдонуу ${{ toJSON(secrets) }} Actions иш агымдары сейрек кездешет. Ошондуктан, Командалар аны аңчылык учурунда жогорку сигналдык индикатор катары кабыл алышы керек.

Сиз издешиңиз керек болгон тазаланган жумуш агымынын үлгүсү

Бул адаттан тыш колдонуу үчүн JSON(сырлар) in Actions бул окуядагы жогорку сигналдык индикатор болуп саналат.

Жогорку деңгээлдеги жайылтуу псевдо-коду (коопсуз, сүрөттөмө)