Shai-Hulud: Den npm Packages Wurm erkläert

Auswierkunge vum Shai-Hulud Supply Chain Attack op d'Exekutiv

De Shai-Hulud ass haut nach ëmmer aktiv. Dëse Wuerm beschleunegt d'Zäit vum Aschlag. Wat fréier Woche mat engem Trojaner gedauert huet, entwéckelt sech elo a Stonnen. Dofir, D'Verbreedung ass méi séier a méi schwéier ze kontrolléieren. Et geet virun duerch:

• NPM Publish Tokens a GitHub Geheimnisser klauen.
• Sech selwer an aner npm-Pakete nei publizéieren.
• Béiswëlleg GitHub Actions Workflows fir Persistenz ginn derbäigesat.

Wien ass betraff:

All Team, dat ëffentlech NPM-Pakete installéiert, ass ausgesat. Ausserdeem si Entwéckler mat am Cache gespäicherten NPM- oder GitHub-Tokens mat engem héije Risiko konfrontéiert. CI-Runner, déi breet gefächert Geheimnisser benotzen, si vulnérabel.

Geschäftschaîne Risiko

Den Impakt op d'Geschäft wiisst séier. Geklaut Tokens kënnen zu Konteniwwernahm, Pakethierstellung a souguer zu Cloud-Mëssbrauch féieren. Zousätzlech mécht d'Persistenz an de GitHub-Workflows et méi schwéier ze botzen. Dofir, mussen d'Équipen de Shai-Hulud als en lafenden Incident behandelen, net als en zouenen.

Wéi den Shai-Hulud Supply Chain Attack an npm Packagen funktionéiert

Ziler a Motiv vum Ugräifer

D'Campagne optimiséiert sech fir dräi Saachen:

• Dat éischt Zil ass Umeldungsinformatiounen am grousse Stil klauen vun Entwéckler-Laptopen a CI-Runner. Dëst beinhalt npm Publish Tokens, GitHub Tokens a Cloud-Umeldungsinformatiounen. Tatsächlech bestätegen verschidde Analysen déi systematesch Geheimsammlung, wéi zum Beispill d'Ausféiere vun TruffleHog an d'Offroe vu Cloud-Metadaten-Endpoints.
• Déi zweet Zilsetzung ass et, automatesch verbreeden andeems d'Publikatiounsrechter vu kompromittéierte Maintainer mëssbraucht ginn. Dofir gëtt ee Fouss séier op vill aner verbreet, well nei infizéiert Versioune vun anere Paketen ouni zousätzlech mënschlech Ustrengung erschéngen.
• Déi drëtt Zilsetzung ass et, hält sech un a filtert zouverlässeg iwwer d'GitHub-Infrastruktur. Attacker kreéieren e Public Repo mam Numm "Shai-Hulud" mat enger duebeler Basis64 data.json, an zousätzlech planzéiere si e Workflow, deen serialiséiert ${{ toJSON(Geheimnisser) }} an postt et op e statesche Webhook.

Déi wahrscheinlech Konsequenze sinn ënner anerem laangfristeg Zougang zu Registeren a Quellcode, e schnelle laterale Wiessel a Cloud-Konten an d'Méiglechkeet, d'Liwwerketten weider mat Waffen ze bewaffnen. Öffentlech Berichter weisen, datt privat Repos ëffentlech gemaach goufen, mat engem ... „-Migratioun“ Suffix, wat d'Datenexpositioun an den Dynamik erhéicht

An der Shai-Hulud-Nutzelaad: bundle.js an npm-Paketen

Shai-Hulud schëfft als grouss, Webpack-gebündelt a staark miniméiert JavaScript Datei (bundle.js, ongeféier 3–3.7 MB) dat vun engem ausféiert no der Installatioun anhaken Package.jsonDofir, All Installatioun léist d'Payload automatesch aus. Dësen Design verstoppt Identifikatoren, kompriméiert de Kontrollfloss a setzt all Logik an een eenzegen Artefakt, deen während der Installatioun ausféiert. Analysten bestätegen ëmmer erëm Webpack-Bundling, ongewéinlech Dateigréisst an Ausféierung zur Installatiounszäit.

Verschleierungs- an Anti-Analyse-Charakteristiken, déi Dir a Beispiller gesitt:

• Miniméiert Modulgrafik mat numeresche Modul-IDen, spuersame Kommentarer an engem flaache Kontrollfloss., Dës Struktur mécht d'manuell Iwwerpréiwung extrem schwéier.
• String verstoppen iwwer base64 Schichten an Hëllefer fir d'Konstruktioun. Zum Beispill, Widderholl Base64-Codéierung an -Dekodéierung trieden normalerweis ronderëm Exfiltratiounsroutinen op.
• Dynameschen Dispatch duerch eval-style-Musteren a generéiert Funktiounsboden, sou datt de Code de Verhalen zum Lafzäit änneren kann.
• OS-Filterung Linux an macOS Ausféierung ze bevorzugten, besonnesch op CI Lafenden an Entwéckler Laptops.

Vun engem funktionelle Standpunkt aus ass de Bundle modular. D'Beschreiwunge beschreiwen Moduler fir OS-Entdeckung, Dateisystem- a Git-Secret-Scans, Cloud-SDK-Zougang, GitHub API-Operatiounen an eng Propagatiounsmaschinn, déi aner Paketen, déi dem Maintainer gehéiert, ännert. Tatsächlech beliichten StepSecurity a ReversingLabs allebéid eng Funktioun, déi Paketen automatesch mam béiswëllege Hook aktualiséiert.

Ausféierung zur Installatiounszäit a Shai-Hulud: Wéi npm-Packagen de Wuerm ausléisen

Den Ugrëff fänkt un, wann Postinstallatioun leeft Node aus bundle.js. Zu dësem Zäitpunkt initialiséiert de Skript sech an entpackt den Aarbechtszoustand am Speicher, wouduerch d'Bühn fir de komplette Betrib vum Wuerm virbereet gëtt.

Entdeckung an Ernte

• D'Payload dumpt process.env a scannt lokal Dateien no Geheimnisser mat héijer Entropie a Token-Prefixer. Zousätzlech erweidert se d'Ofdeckung andeems se TruffleHog ausféiert.
• Et freet Cloud-Metadaten-Endpunkten of, fir kuerzfristeg Umeldungsinformatiounen ze sammelen. Zum Beispill, rifft un 169.254.169.254 op AWS oder metadata.google.internal op GCP erschéngen dacks bei infizéierte Wirten.
• Dofir ass All fonnt Umeldungsinformatioun kann direkt benotzt ginn fir nei npm-Pakete ze publizéieren oder GitHub-Workflows ze pushen.

Exfiltratioun

• De Wuerm erstellt en neie GitHub-Repo mam Numm Shai Hulud a schreift eng duebel base64-encodéiert data.json mat Plattformdetailer, Ëmfelddumps a Geheimnisser. Wéi ee gesäit, ass dëst haart Verhalen einfach ze erkennen, wann d'Verdeedeger wëssen, wou se sichen sollen.
• Et planzt och e GitHub Actions Workflow, dacks op enger Branch mam Numm Shai-Hulud, dat serialiséiert ${{ toJSON(secrets) }} an iwwerdroe d'Donnéeën op e statesche Webhook. Ausserdeem bleift dëse Workflow bestoen, bis een en aktiv läscht.

Verbreedung

• Mat all entdeckten npm-Token zielt d'Payload all Paketen op, déi dem kompromittéierte Maintainer gehéieren. Dann liest se all Tarball erof, sprëtzt bundle.js an en Postinstall-Eintrag an publizéiert de Pak nei.
• Dofir kënnen Dosende vun infizéierte Paketen bannent e puer Stonnen optrieden, wouduerch de Explosiounsradius am ganze Ökosystem multiplizéiert gëtt.

Persistenz an Expositioun

• De Wuerm hält béiswëlleg Workflows um Liewen a mécht a verschiddene Fäll privat Repos ëffentlech mat engem ... „-Migratioun“ Suffix. Alles an allem garantéiert dëst, datt den Ugräifer Fouss faassen kann a maximal Datenleckage verursaacht.

Notiz iwwer Schlësseldetektioun
Dës ongewéinlech Notzung vun ${{ toJSON(secrets) }} An Aktiounen ass Workflow rar. Dofir ass D'Ekippen sollten et während der Juegd als e Signalindikator behandelen.

Sanéiert Workflow-Muster, no deem Dir sichen sollt

Dës ongewéinlech Notzung vun ze maachen JSON (Geheimnisser) an Aktiounen ass e Signalindikator an dësem Tëschefall.

Pseudocode fir d'Ausbreedung op héijem Niveau (sécher, beschreiwend)