Shai-Hulud: NPM paketų kirmino paaiškinimas

Shai-Hulud tiekimo grandinės atakos poveikis vadovybei

„Shai-Hulud“ vis dar aktyvus. Šis kirminas pagreitina smūgio laiką. Tai, kas anksčiau užtrukdavo savaites su Trojos arkliu, dabar išsisklaido per kelias valandas. Todėl... plitimas yra greitesnis ir sunkiau sustabdomas. Tai vyksta toliau:

• „npm“ publikavimo žetonų ir „GitHub“ paslapčių vagystė.
• Pakartotinai publikuojama kituose npm paketuose.
• Kenkėjiškų „GitHub Actions“ darbo eigų pridėjimas siekiant išsaugoti duomenis.

Kas yra paveiktas:

Bet kuri komanda, diegianti viešus „npm“ paketus, yra pažeidžiama. Be to, didelę riziką patiria kūrėjai, turintys talpykloje saugomus „npm“ arba „GitHub“ žetonus. Taip pat pažeidžiami yra CI vykdytojai, naudojantys plačios apimties paslaptis.

Verslo rizika

Poveikis verslui sparčiai auga. Pavogti žetonai gali lemti paskyros perėmimą, paketų užgrobimą ir net netinkamą debesijos naudojimą. Be to, nuolatinis įsitvirtinimas „GitHub“ darbo eigose apsunkina jų valymą. Todėl...komandos privalo traktuoti Shai-Hulud kaip besitęsiantį incidentą, o ne kaip užsibaigusį.

Kaip veikia „Shai-Hulud“ tiekimo grandinės ataka npm paketuose

Užpuoliko tikslai ir motyvai

Kampanija optimizuojama pagal tris dalykus:

• Pirmasis tikslas yra: vogti įgaliojimus dideliu mastu iš kūrėjų nešiojamųjų kompiuterių ir CI serverių. Tai apima npm publikavimo žetonus, „GitHub“ žetonus ir debesijos prisijungimo duomenis. Iš tiesų, daugybė analizių patvirtina sistemingą slaptų duomenų rinkimą, pavyzdžiui, „TruffleHog“ paleidimą ir debesijos metaduomenų galinių taškų užklausas.
• Antrasis tikslas yra skleisti automatiškai piktnaudžiaujant pažeistų kūrėjų leidybos teisėmis. Dėl to viena pozicija greitai išsiplečia į daugelį, nes naujos užkrėstos kitų paketų versijos atsiranda be papildomų žmonių pastangų.
• Trečiasis tikslas yra išsilaiko ir patikimai išsiskiria per „GitHub“ infrastruktūrą. Užpuolikai sukuria viešą saugyklą pavadinimu „Shai-Hulud“ su dviguba baze64 duomenys.json, ir be to, jie įdiegia darbo eigą, kuri serializuoja ${{ toJSON(paslaptys) }} ir paskelbia jį statiniame žiniatinklio kabliuke.

Tikėtina nauda apima ilgalaikę prieigą prie registrų ir šaltinio kodo, greitą horizontalią perėjimą prie debesijos paskyrų ir galimybę dar labiau ginkluoti tiekimo grandinę. Viešose ataskaitose rodoma, kad privačios saugyklos buvo perkeltos į viešas. „-migracija“ priesaga, kuri padidina duomenų matomumą ir pagreitį

„Shai-Hulud“ naudingojo krovinio viduje: bundle.js npm paketuose

Shai-Hulud laivai kaip didelis, su „Webpack“ paketu susietas ir labai sumažintas JavaScript failas (bundle.js, apie 3–3.7 MB) kuris vykdomas iš po įdiegimo užsikabinti paketas.jsonTodėl, Kiekvienas diegimas automatiškai suaktyvina naudingąją apkrovą. Šis dizainas paslepia identifikatorius, suspaudžia valdymo srautą ir visą logiką sujungia į vieną artefaktą, kuris vykdomas diegimo metu. Analitikai nuolat patvirtina „Webpack“ paketų naudojimą, neįprastą failo dydį ir diegimo metu vykdomą procesą.

Pavyzdžiuose pastebėsite tokius obfuskacijos ir antianalizės bruožus:

• Sumažintas modulio grafikas su skaitmeniniais modulių ID, retais komentarais ir suplokštintu valdymo srautu. Be to, Dėl šios struktūros rankinė peržiūra yra itin sudėtinga.
• Stygų slėpimas per „base64“ sluoksnius ir konstravimo pagalbininkus. Pavyzdžiui, Pakartotinis „base64“ kodavimas ir dekodavimas paprastai pasireiškia eksfiltracijos procedūrų metu.
• Dinaminis išsiuntimas per evalstiliaus šablonus ir sugeneruotus funkcijų kūnus, todėl kodas gali keisti elgseną vykdymo metu.
• OS filtravimas teikti pirmenybę „Linux“ ir „macOS“ vykdymui, ypač CI vykdytojams ir kūrėjų nešiojamiesiems kompiuteriams.

Funkciniu požiūriu, paketas yra modulinis. Aprašuose aprašomi OS aptikimo, failų sistemos ir „Git“ slaptų nuskaitymų, debesies SDK prieigos, „GitHub“ API operacijų ir sklaidos moduliai, kurie redaguoja kitus paketus, kuriuos valdo kūrėjas. Tiesą sakant, „StepSecurity“ ir „ReversingLabs“ pabrėžia funkciją, kuri automatiškai atnaujina paketus su kenkėjiška priemone.

Diegimo laiko vykdymas Shai-Hulud: kaip npm paketai suaktyvina kirminą

Ataka prasideda, kai po diegimo vykdomas mazgas bundle.js. Šiuo metu scenarijus inicijuoja ir išpakuoja darbinę būseną atmintyje, taip paruošdamas dirvą visapusiškam kirmino veikimui.

Atradimas ir derliaus nuėmimas

• Naudingoji apkrova iškelia „process.env“ failą ir nuskaito vietinius failus, ieškodama didelės entropijos paslapčių ir žetonų prefiksų. Be to, ji išplečia aprėptį paleisdama „TruffleHog“.
• Jis pateikia užklausas debesies metaduomenų galiniams taškams, kad surinktų trumpalaikius prisijungimo duomenis. Pavyzdžiui, skambina į 169.254.169.254 AWS arba metadata.google.internal GCP dažnai atsiranda užsikrėtusiuose šeimininkuose.
• Taigi, Bet kokie rasti prisijungimo duomenys tampa iš karto naudojami naujiems npm paketams publikuoti arba „GitHub“ darbo eigoms vykdyti.

Eksfiltracija

• Kirminas sukuria naują „GitHub“ saugyklą pavadinimu Shai Hulud ir rašo dvigubą „base64“ koduotę data.json su platformos informacija, aplinkos išklotinėmis ir paslaptimis. Kaip matyti, šį triukšmingą elgesį lengva pastebėti, jei gynėjai žino, kur ieškoti.
• Taip pat įdiegiama „GitHub Actions“ darbo eiga, dažnai pavadinimu vadinamoje šakoje Šai-huludas, kuris serializuoja ${{ toJSON(secrets) }} ir paskelbia duomenis statiniame žiniatinklio kabliuke. Be to, ši darbo eiga išlieka tol, kol kas nors ją aktyviai pašalina.

Dauginimas

• Aptikus bet kokį npm prieigos raktą, naudingoji apkrova išvardija visus pažeistam prižiūrėtojui priklausančius paketus. Tada ji nuskaito kiekvieną tarball, įterpia bundle.js ir postinstall įrašą ir iš naujo publikuoja paketą.
• Dėl to per kelias valandas gali pasirodyti dešimtys užkrėstų paketų, kurie padidina sprogimo spindulį visoje ekosistemoje.

Patvarumas ir poveikis

• Kirminas palaiko kenkėjiškas darbo eigas ir keliais atvejais privačias saugyklas paverčia viešomis su... „-migracija“ priesaga. Tai užtikrina, kad užpuolikas išlaikytų savo pozicijas ir maksimaliai padidintų duomenų nutekėjimą.

Rakto aptikimo pastaba
Šis neįprastas panaudojimas ${{ toJSON(secrets) }} Veiksmų darbo eigose yra retos. Todėl, komandos medžioklės metu turėtų tai laikyti didelio signalo indikatoriumi.

Išvalytas darbo eigos modelis, kurio turėtumėte ieškoti

Šis neįprastas panaudojimas į JSON (paslaptys) „Actions“ yra didelio signalo rodiklis šiame incidente.

Aukšto lygio sklidimo pseudokodas (saugus, aprašomasis)