Šai-Huluds: NPM pakotņu tārps ir izskaidrots

Šai-Huludas piegādes ķēdes uzbrukuma ietekme uz vadību

Šai-Huluds joprojām ir aktīvs. Šis tārps paātrina trieciena laika grafiku. Tas, kas kādreiz ar Trojas zirgu aizņēma nedēļas, tagad risinās dažu stundu laikā. Tā rezultātā, izplatība ir ātrāka un grūtāk ierobežojama. Tas virzās uz priekšu, izmantojot:

• Npm publicēšanas žetonu un GitHub noslēpumu zagšana.
• Pārpublicē sevi citās npm pakotnēs.
• Ļaunprātīgu GitHub darbību darbplūsmu pievienošana noturības nodrošināšanai.

Kas tiek ietekmēts:

Jebkura komanda, kas instalē publiskas npm pakotnes, ir pakļauta riskam. Turklāt izstrādātājiem ar kešatmiņā saglabātiem npm vai GitHub tokeniem ir augsts risks. Arī CI palaistāji, kas izmanto plaša darbības jomas noslēpumus, ir neaizsargāti.

Biznesa risks

Ietekme uz uzņēmējdarbību strauji pieaug. Nozagti tokeni var izraisīt konta pārņemšanu, pakotņu nolaupīšanu un pat mākoņa ļaunprātīgu izmantošanu. Turklāt noturība GitHub darbplūsmās apgrūtina to tīrīšanu. Tāpēckomandām Shai-Hulud lieta jāuztver kā notiekošs incidents, nevis jau noslēgts.

Kā Shai-Hulud piegādes ķēdes uzbrukums darbojas npm pakotnēs

Uzbrucēja mērķi un motīvs

Kampaņa optimizē trīs lietas:

• Pirmais mērķis ir zagt akreditācijas datus plašā mērogā no izstrādātāju klēpjdatoriem un CI runneriem. Tas ietver npm publicēšanas žetonus, GitHub žetonus un mākoņa akreditācijas datus. Faktiski vairākas analīzes apstiprina sistemātisku slepeno datu vākšanu, piemēram, TruffleHog palaišanu un mākoņa metadatu galapunktu vaicājumus.
• Otrais mērķis ir izplatīt automātiski ļaunprātīgi izmantojot apdraudēto uzturētāju publicēšanas tiesības. Tā rezultātā viena ietekme ātri vien pārvēršas daudzās, jo bez papildu cilvēka piepūles parādās jaunas inficētas citu pakotņu versijas.
• Trešais mērķis ir saglabājas un droši izfiltrējas izmantojot GitHub infrastruktūru. Uzbrucēji izveido publisku repozitoriju ar nosaukumu “Shai-Hulud” ar dubultu base64 dati.json, un turklāt viņi izveido darbplūsmu, kas serializē ${{ toJSON(noslēpumi) }} un ievieto to statiskā tīmekļa āķī.

Iespējamais ieguvums ietver ilgstošu piekļuvi reģistriem un pirmkodam, ātru horizontālu pārvietošanos uz mākoņkontiem un iespēju vēl vairāk ieroci izmantot piegādes ķēdi. Publiskie ziņojumi liecina, ka privātie krātuvju portfeļi ir pārvērsti publiski pieejamās pārvaldībās ar… "-migrācija" sufikss, kas palielina datu ekspozīciju un impulsu

Šai-Hulud kravas iekšpusē: bundle.js npm pakotnēs

Šai-Huluda kuģi kā liels, Webpack komplektā iekļauts un stipri samazināts JavaScript fails (bundle.js, aptuveni 3–3.7 MB) kas tiek izpildīts no pēc instalēšanas pieķerties pack.jsonLīdz ar to, Katra instalēšana automātiski aktivizē lietderīgo slodzi. Šis dizains slēpj identifikatorus, saspiež vadības plūsmu un visu loģiku apvieno vienā artefaktā, kas tiek izpildīts instalēšanas laikā. Analītiķi pastāvīgi apstiprina Webpack komplektēšanu, neparastu faila lielumu un izpildi instalēšanas laikā.

Apmulsināšanas un antianalīzes iezīmes, ko redzēsiet paraugos:

• Samazināts moduļu grafiks ar skaitliskiem moduļu ID, reti komentāriem un saplacinātu vadības plūsmu. Turklāt, Šī struktūra padara manuālu pārskatīšanu ārkārtīgi sarežģītu.
• Stīgu slēpšana izmantojot base64 slāņus un konstrukcijas palīgus. Piemēram, Atkārtota base64 kodēšana un dekodēšana parasti parādās ap eksfiltrācijas rutīnām.
• Dinamiska nosūtīšana cauri evalstila modeļi un ģenerēti funkciju pamatelementi, tādējādi ļaujot kodam mainīt uzvedību izpildes laikā.
• OS filtrēšana dot priekšroku Linux un macOS izpildei, īpaši CI Runners un izstrādātāju klēpjdatoros.

No funkcionālā viedokļa komplekts ir modulārs. Aprakstos ir aprakstīti moduļi operētājsistēmas noteikšanai, failu sistēmas un git slepeno kodu skenēšanai, mākoņa SDK piekļuvei, GitHub API darbībām un izplatīšanas dzinējam, kas rediģē citas uzturētāja īpašumā esošās pakotnes. Faktiski gan StepSecurity, gan ReversingLabs izceļ funkciju, kas automātiski atjaunina pakotnes ar ļaunprātīgo āķi.

Instalēšanas laika izpilde Shai-Hulud: Kā npm pakotnes aktivizē tārpu

Uzbrukums sākas, kad pēcinstalēšanas palaišanas mezgls bundle.js. Šajā brīdī skripts inicializē un izpako darba stāvokli atmiņā, sagatavojot augsni tārpa pilnīgai darbībai.

Atklāšana un ražas novākšana

• Lietderīgā slodze izgāž failu process.env un skenē lokālos failus, meklējot augstas entropijas noslēpumus un marķieru prefiksus. Turklāt tā paplašina pārklājumu, palaižot TruffleHog.
• Tas vaicā mākoņa metadatu galapunktus, lai apkopotu īslaicīgus akreditācijas datus. Piemēram, zvani uz 169.254.169.254 vietnē AWS vai metadata.google.internal uz GCP bieži parādās inficētos saimniekorganismos.
• Līdz ar to, Jebkuru atrasto akreditācijas informāciju var nekavējoties izmantot jaunu npm pakotņu publicēšanai vai GitHub darbplūsmu virzīšanai.

Eksfiltrācija

• Tārps izveido jaunu GitHub repozitoriju ar nosaukumu Šajs Huluds un raksta dubultu base64 kodējumu data.json ar platformas detaļām, vides izgāztuvēm un noslēpumiem. Kā redzams, šo trokšņaino uzvedību ir viegli pamanīt, ja aizstāvji zina, kur meklēt.
• Tas arī ievieto GitHub darbību darbplūsmu, bieži vien uz filiāles ar nosaukumu šai-huluds, kas serializē ${{ toJSON(secrets) }} un ievieto datus statiskā tīmekļa āķī. Turklāt šī darbplūsma tiek saglabāta, līdz kāds to aktīvi noņem.

Pavairošana

• Ar jebkuru atklātu npm marķieri, lietderīgā slodze uzskaita visas apdraudētā uzturētāja piederošās pakotnes. Pēc tam tā ielādē katru tarball, injicē bundle.js un postinstall ierakstu un atkārtoti publicē pakotni.
• Tā rezultātā dažu stundu laikā var parādīties desmitiem inficētu paku, reizinot sprādziena rādiusu visā ekosistēmā.

Noturība un iedarbība

• Tārps uztur ļaunprātīgas darbplūsmas un vairākos gadījumos pārvērš privātās krātuves publiskās formātā ar "-migrācija" sufikss. Kopumā tas nodrošina uzbrucējam stabilu pozīciju un palielina datu noplūdi.

Piezīme par atslēgu atpazīšanu
Šis neparastais lietojums ${{ toJSON(secrets) }} Darbību darbplūsmās tas ir reti sastopams. Tādēļ, komandām medību laikā tas jāuztver kā spēcīga signāla indikators.

Sanitizēts darbplūsmas modelis, kas jums jāmeklē

Šis neparastais lietojums uz JSON(noslēpumi) Darbībās šajā incidentā ir augsta signāla indikators.

Augsta līmeņa izplatīšanas pseidokods (drošs, aprakstošs)