TL, DR
Vondron'olona fonosana npm dimy, navoaka tamin'ny kaonty roa, nandefa a postinstall hook izay mamaky ny fahazoan-dàlana amin'ny rahona avy amin'ny mpampiantrano ary mandefa azy ireo any ivelany. Mitondra anarana matoatoa sy jiolahin-tsambo ireo fonosana — coral-wraith, ecto-corsair-whisper-6f3b9, ecto-corsair-flag-x9m4, ecto-rust-read-f3a9c1, ecto-nightly-spirit — ary mizara izay rehetra angoniny ho sandoka ecto_module: Ny manifest YAML alohan'ny handefasana azy. Arahinay ny cluster araka ny ectoplasm.
Miasa ny payload rehefa mahita tontolo iainana manokana izy: mpampiantrano izay manana anarana hoe Tady heksade misy tarehintsoratra 12 ary lahatahiry miasa eo ambanin'ny /app/node_modules — ny endriky ny mpiasan'ny CI na container build. Rehefa mandalo io vavahady io dia manontany ny hook Serivisy metadata an'ny AWS (IMDSv2) ho an'ny fahazoan-dàlana amin'ny andraikitra IAM, dia tanisaina Mpitantana ny tsiambaratelon'ny AWS manerana ny faritra telo, manary ireo variables environment, mamaky ireo rakitra eo ambanin'ny /app, ary mikaroka ireo kofehy fakana ny sainam-pirenena. Avy eo dia mamoaka ny vokatra amin'ny fomba roa izy: jiro mankany amin'ny webhook.site collector sy manifest PUT mankany amin'ny raw-IP endpoint, miaraka amin'ny lisitry ny localhost-first fallbacks.
Ny famaritana ny fonosana taty aoriana dia mamaky hoe "CTF payload for verdaccio supply-chain testing." Hitanay fa zava-misy hita maso io famaritana ny tena io. Ny fihetsika mihitsy — fivoahana mivantana mankany amin'ny IP ho an'ny daholobe, famakiana ny mari-pahaizana IMDS tena izy, antsoin'ny Secrets Manager tena izy — dia izay misy azy na inona na inona marika, ary izany no antony nanasokajiana ireo dikan-teny ireo ho mampidi-doza.
Anarana iray ao amin'ny vondrona, coral-wraith, tsy nijanona tamin'ny famoahana tokana. Navoaka haingana izy io tamin'ny alalan'ny dikan-teny am-polony maro tao anatin'ny ora vitsivitsy — 1.0.0 miakatra mankany 6.0.0 — ary ny fampiasana teo aloha mitovy anarana dia nampiasa inflated 9999.0.x laharan'ny dikan-teny, ny endrika mahazatra an'ny andrana fiankinan-doha-fisafotofotoanaAmin'izany fomba izany dia miova ho matotra tsara ny entana: avy amin'ny famantarana fanisana mpampiantrano indray mandeha monja ho lasa pivot fanamarinana AWS feno voarakotra fanamarinana tontolo iainana izay mitazona azy ho mangina ivelan'ny tanjona kendrena.
| Packages | Anarana 5; coral-wraith irery no navoaka indray tamin'ny dikan-teny am-polony |
| tontolo iainana | npm |
| Mametraha vector | postinstall script momba ny tsingerim-piainana |
| Tanjona voalohany | Fahazoan-dàlana amin'ny andraikitra AWS IAM + soatoavina miafina an'ny Secrets Manager, fiovaovan'ny tontolo iainana, /app raki-daza |
| Exfil | webhook.site jiro + raw-IP C2 PUT |
| Vavahady fanindroany | Anaran'ny mpampiantrano 12-hex + /app/node_modules cwd, miampy fanamarinana tontolo iainana izay manafoana ny entana ivelan'io toe-javatra io |
| fahasaro-po | ambony — fahazoan-dàlana amin'ny rahona sy famoahana tsiambaratelo tantanin'ny tontolo iainana fananganana sy runtime anaty fitoeran-javatra |
Anatomy fanafihana
Mitovy ny fomba fanamboarana ny fonosana rehetra ao amin'ny cluster: efa ho foana index.js (module.exports = {}), andalana iray package.json soratra — "postinstall": "node postinstall.js" — ary ny entana ao amin'ny postinstall.jsAmpy hampandehanana ny "hook" ny fametrahana ny fonosana; tsy mila import na call.
Ny vavahady fikendrena. Alohan'ny hanaovana na inona na inona, ny entana ecto-family dia manamarina ny manodidina azy:
function isAppWorker(): host = os.hostname() if host does NOT match /^[0-9a-f]{12}$/ -> exit if cwd does NOT contain "/app/node_modules" -> exit if cwd contains "/tmp/npm-safe" -> exit otherwise -> proceedNy anaran'ny mpampiantrano 12-hex dia ny endrika mahazatra ampiasain'ny Docker amin'ny fitoeran-javatra iray, ary /app/node_modules dia lalana fametrahana mahazatra ao anaty fitoeran-javatra. Ny fehintsoratra fahatelo dia miala raha toa ka toa lahatahiry fitrandrahana misy boaty sandbox ny lalana. Ny vokany dia ny hoe mijanona tsy miasa ny entana ao amin'ny solosaina finday mpamorona na boaty sandbox fanadihadiana ary miasa ao anatin'ny fitoeran-javatra na mpiasa miasa amin'ny fotoana fiasana ihany - ny karazana tontolo iainana izay mety hitondra fahazoan-dàlana mivantana amin'ny rahona. Ny fonosana voalohany indrindra ao amin'ny cluster, vato harana, tsy manana vavahady toy izany ary mitantana ny fanangonany (tsotra kokoa) tsy misy fepetra.
CollectionRehefa mandalo ny vavahady dia mivoaka avy ao ny farango execFileSync(“/bin/sh”, [“-c”, …]) ary mampiasa baiko mitambatra tokana izay, araka ny filaharany:
1. PUT /latest/api/token to 169.254.169.254 (IMDSv2 token request) 2. GET .../iam/security-credentials/ (IAM role name) 3. GET .../iam/security-credentials/<role> (temporary credentials) 4. dump env | sort (environment variables) 5. list /app (excl. node_modules) + cat first 15 (application files) 6. aws secretsmanager list-secrets (us-east-1, eu-west-1, eu-central-1) 7. scrape readable files for HTB{...} (capture-the-flag strings)Dingana 1–3 dia famerenana IMDSv2 amin'ny boky fianarana: mangataha mari-pamantarana fivoriana, dia ampidiro ho toy ny Famantarana-metadata-X-aws-ec2 lohapejy hisintonana ny anjara asan'ny IAM an'ny instance sy ny lakilen'ny fidirana vonjimaika an'io anjara io. Ny safidy hampihatra ny IMDSv2 fa tsy ny IMDSv1 tsotra tsy voamarina GET Tsara homarihina — midika izany fa miasa ny payload na dia amin'ny tranga voamboatra mba hitaky fidirana metadata mifototra amin'ny token aza, izay fanamafisana atolotry ny AWS. Ny credentials averina amin'ny dingana 3 dia tsy maharitra ela. AccessKeyId/SecretAccessKey/famantarana triples mifandraika amin'ny andraikitry ny instance; na inona na inona azon'io andraikitra io atao, dia azon'ny tompon'ireo fanalahidy ireo atao mandritra ny androm-piainan'ny credential.
Ny dingana 4–6 dia manitatra ny lalana. Ny mandefa Ny dump dia maka izay rehetra nolovain'ny dingana fananganana na runtime — amin'ny fampiharana dia matetika no misy ny token'ny rejisitra, ny tady fifandraisana amin'ny angon-drakitra, ary ny lakilen'ny API. Ny /app mamaky rakitra fangatahana hatramin'ny dimy ambin'ny folo any ivelany ny "file walk" node_modules, izay afaka manova ny firafitry ny ety ambonin'ny tany, .env rakitra, na loharano. Dingana faha-6 miantso lisitry ny tsiambaratelon'ny aws secretsmanager amin'ny faritra telo; ny fahazoan-dàlana voasintona tamin'ny dingana 1–3 no tena manamarina ireo antso ireo, ka ny famakiana IMDS sy ny rojo fanisana Secrets Manager dia miaraka ho lasa escalation tokana: instance role → managed-secret inventory. Ny dingana 7 dia fankatoavana ny frame capture-the-flag — rehefa misy HTB{…} Raha hita ny sainam-pirenena dia alefa irery izy io, raha tsy izany dia tetehina efatra ilay sombin-javatra manta voaangona ary alefa.
Ireo dikan-teny taty aoriana ao amin'ny vondrona dia mitondra ny fiakarana bebe kokoa. Tsy mijanona amin'ny lisitra fotsiny izy ireo, fa mandinika ny valintenin'ny IMDS, manondrana ireo fanalahidy vonjimaika araka ny tokony ho izy. AWS_ACCESS_KEY_ID / AWS_SECRET_ACCESS_KEY / AWS_SESSION_TOKEN ireo fiovaovan'ny tontolo iainana, manamafy ny maha-izy azy amin'ny aws sts mahazoa ny maha-izy azy ny mpiantso, ary avy eo avereno jerena ny tsiambaratelo rehetra naverin'i lisitry ny tsiambaratelo miantso aws secretsmanager mahazo-sanda-miafina amin'ny tsirairay — maka ny votoaty miafina, fa tsy ny anarany fotsiny. Ireo dikan-teny ireo ihany koa dia mamaky binaries flag nosoloina dingana (/readflag sy ny namana) ary manandrana fiampangana mihazakazaka manohitra izay tetikasa Rust hita eo ambanin'ny /app, manitatra ny vokatra mihoatra ny fahaiza-manaon'ny rahona ka hatramin'izay rehetra ahariharin'ny tontolo fanorenana.
Ireo dikan-teny taty aoriana ireo dia miasa amin'ny fomba mahery vaika kokoa ihany koa. Ho fanampin'ny anarana mpampiantrano 12-hex sy /app/node_modules Rehefa manamarina izany ny payload dia mijery ny configuration active package-registry sy ny lalan'ny working-directory ary mivoaka mangina rehefa manondro famakafakana na fitaratra context fa tsy lasibatra mivantana. Ny vokatra mitambatra dia payload izay tsy manao na inona na inona azo jerena amin'ny ankamaroan'ny tontolo fanaraha-maso ary mampiasa ny fanangonana feno azy rehefa mitsara ny tenany ho ao anaty containerized host tena izy.
ExfiltrationMiala amin'ny mpampiantrano amin'ny fantsona roa ny angon-drakitra voaangona. Voalohany, misy jiro famantarana POST ho raikitra tranonkala webhook.site mpanangona, mitondra ny anaran'ny mpampiantrano, ny UID isa, ny lahatahiry miasa, ary hatramin'ny 120 KB ny angona voaangona. Faharoa, aforitra ao anaty "manifest module" YAML sandoka ny angona ary ataovy ny /api/môdioly/ amin'ny mpizara kendrena:
ecto_module: name: "<flag-or-chunk-0>" version: "1.0.0" power_level: "<chunk-1>" ship_deck: "<chunk-2>" cargo_hold: "<chunk-3>"Ny anaran'ny saha manifest (ambaratongan'ny_hery, tokotanin-tsambo, cargo_hold) dia haingon-trano — ny angona nangalarina dia miditra ao anatin'ny soatoavina tady, izany no mahatonga ny mpanara-maso ny tambajotra hahita izay toa fandefasana manifest package-registry tsy dia ratsy fa tsy fanariana angona miharihary. Ny fantsona beacon dia mitondra bebe kokoa: ny POST vatana ho tranonkala webhook.site dia ahitana ny anaran'ny mpampiantrano, ny UID isa, ny lahatahiry miasa, ary hatramin'ny 120 KB amin'ny blob voangona, ka na dia beacon tokana mahomby aza dia manome ny fakana feno. tranonkala webhook.site Serivisy fanaraha-maso fangatahana maimaim-poana izany; ny fampiasana azy ho toy ny mpanangona dia midika fa tsy voatery hitsangana handray fotodrafitrasa manokana ho an'io fantsona io ny mpandraharaha, ary ny fangatahana voarakitra dia hijanona ao amin'ny fitoeran'ny serivisy.
Ny manifest ataovy mandeha lisitra fallback izay manomboka amin'ny maromaro 127.0.0.1/localhost seranana ary avy eo dia mianjera amin'ny adiresy ho an'ny daholobe telo ao amin'ny `154.57.164.0/24` range, mijanona eo amin'ny teboka voalohany izay mamaly amin'ny sata 2xx. Ny filaharan'ny localhost-first dia mifanaraka amin'ny famaritana ny "verdaccio testing" (rejisitra eo an-toerana amin'ny loopback), fa ny public-IP fallbacks dia midika fa miala amin'ny mpampiantrano ny angona isaky ny tsy mihaino ny loopback - izany hoe, amin'ny milina rehetra izay tsy fitaovana fitsapana an'ny mpanoratra.
Timeline
Ny vondrona dia mampiseho fitomboana tsikelikely amin'ny fahaiza-manao fa tsy fihenana tokana. Milahatra araka ny fihetsika voamarika izahay, fa tsy amin'ny famantaranandro famoahana:
Ny toetra mampiavaka ity vondrona ity dia ny fiovaovan'ny famoahana azy: fa tsy fonosana iray sy dikan-teny iray, fa averina avoaka imbetsaka haingana ny anarana iray ihany, samy mamoaka fiovana kely amin'ny farany, miaraka amin'ireo mpiray tampo vitsivitsy samy hafa anarana mitondra entana mitovy. Ao anatin'ny bitsika fianakaviana mizara ho dian-tanana roa akaiky ny kaody — ny iray dia mametraka famantarana roa manan-danja, telo hafa (lavaka famakiana rakitra fanampiny) — saingy samy mamaha ny payload mitovy izy roa; ny fahasamihafana dia ny fiovaovan'ny kaody, fa tsy ny fork fitondran-tena. Ny dikan-tenin'ny bitsika mihoatra ny elanelana nodinihina (hatramin'ny 1.0.25 farafahakeliny tamin'ny fotoana nanoratana) no hita mivantana tao amin'ny rejisitra, ary ny vato harana nanohy niakatra ny tohatra nanorenany ny anarany teo amin'io varavarankely io ihany.
Famantarana ny marimaritra iraisana
Nalaina avy amin'ny loharanon'ny fonosana ao amin'ny kapila avokoa ireo tondro rehetra etsy ambany. Tsy misy endrika intsony ireo tondro tambajotra.
Network
Fitondran-tena/rakitra
Hash rakitra (sha256, voasambotra tamin'ny fotoana nanaovana fanadihadiana)
Fitondran-tena voamarika sy ny fanombanana
Navoaka teo ambanin'ny kaonty npm roa ireo anaran'ny fonosana dimy, saingy mizara fotodrafitrasa ampy izy ireo mba handraisana azy ireo ho toy ny vondrona iray: mitovy ihany môdiola_ecto tetika miharihary, mitovy ECT-472839 marika voalohany amin'ny lakandrano, mitovy amin'izany tranonkala webhook.site ID mpanangona, ary teboka farany C2 ao amin'ny iray ihany 154.57.164.0/24` sakana. Ny fonosana voa (`coral-wraith, tsotra kokoa ary tsy misy fefy) ary ny fianakaviana ecto misy fefy dia azo vakiana ho toy ny famerenana amin'ny fitaovana iray fa tsy ezaka mahaleo tena.
Ireo fonosana dia mamaritra ny tenany, ao amin'ny dikan-teny taty aoriana, ho toy ny "Entana CTF ho an'ny fitsapana rojo famatsiana verdaccio." Asehonay ho toy ny zava-misy azo tsikaritra io marika io ary tsy averinay lazaina ho toy ny zavatra hita momba ny tanjona. Mazava tsara ny ataon'ny kaody ary tsy miankina amin'ny fomba anaovana azy: mamaky ny fahazoan-dàlana andraikitra IAM avy amin'ny serivisy metadata instance izy, manisa ny tsiambaratelo tantanina manerana ny faritra AWS telo, ary mandefa ny valiny any amin'ny IP ho an'ny daholobe sy mpanangona webhook an'ny antoko fahatelo. Ny fitsapana loopback-only tena izy dia tsy mila ny lisitry ny IP ho an'ny daholobe, ny famakiana ny fahazoan-dàlana IMDS, na ny antson'ny Secrets Manager manerana ny faritra. Satria tena misy ny fivoahana sy ny fahatongavana amin'ny fahazoan-dàlana, dia voasokajy ho ratsy ireo dikan-teny voaaro.
Ny vavahady "container-only" no toetra miavaka indrindra amin'ny fampiasana azy. Sady fepetra fisorohana izany — tsy firesahana amin'ny solosaina finday sy amin'ny "analysis sandboxes" — no fepetra mikendry ihany koa, izay miasa raha toa ka misy ny andraikitra IAM tena izy sy ny tsiambaratelo mivantana. Tsy hahita na inona na inona ireo mpandinika mampiasa ireo fonosana ireo ao anaty "generic sandbox"; ny fihetsika dia miseho amin'ny anaran'ny mpampiantrano Docker sy ny lalan'ny fametrahana ao anaty "container".
Fiantraikany, fironana ary tari-dalana ho an'ny mpiaro
Ny fampiharihariana eto dia ny fahazoan-dàlana avy amin'ny rahona sy ny famoahana tsiambaratelo ao anatin'ny fitoeran-javatra fananganana sy fotoana fiasana. Ny fahazoan-dàlana andraikitra IAM nalaina avy amin'ny IMDS dia mitondra izay fahazoan-dàlana rehetra ananan'io andraikitra io; secretsmanager:Lisitry ny Tsiambaratelo (ary izay tohiny rehetra GetSecretValue) dia manitatra izany amin'ny tsiambaratelon'ny rindranasa voatahiry. Ny "environment-variable dumps" matetika dia mitondra "registry tokens", "database URLs", ary "API keys". Ao anatin'ny CI na "container" — izay tena safidin'ny vavahady — fametrahana transitive tokana amin'ny iray amin'ireo fonosana ireo dia ampy hampivoaka izany fitaovana izany.
Mifanaraka amin'ny lamina hitantsika hatrany ny Ectoplasm: entana azo ampiasaina amin'ny fotoana fametrahana izay mikaroka metadata amin'ny rahona sy tsiambaratelo tantanina fa tsy rakitra eo an-toerana, ary miditra amin'ny tifitra amin'ny tontolo iainana sarobidy ihany. Manaraka izany ny fandinihana fiarovana roa.
- Azo fantarina ny endrikaFametrahana hook npm/PyPI izay mahatratra API miafina rahona ( cloud secrets API) ny grafika antsonympitantana tsiambaratelo aws, tsiambaratelon'ny gcloud, keyvault az) na ny adiresy IMDS sy ny toerana fivoahan'ny tambajotra dia lamina tery sy avo lenta — saika tsy mitranga mihitsy ao anatin'ny script lifecycle ara-dalàna izany. Famakafakana ny fikorianan'ny statika afaka manamarika izany tsy miankina amin'ny sehatra na IP manokana.
- Ny fanamafisana ny tontolo iainana dia mampihena izany. Ny fampiharana ny IMDSv2 amin'ny fetra hop 1 dia misoroka ny enta-mavesatry ny container tsy hahatratra ny metadata an'ny instance; ny fametrahana ny anjara asan'ny IAM amin'ny tombontsoa kely indrindra dia mametra ny radius blast an'ny credential rehetra izay mitsika; ary ny fampandehanana ny fametrahana miaraka amin'ny – tsinontsinona-scripts Ao amin'ny CI dia esorin'ny vector install-hook tanteraka ho an'ireo fonosana izay tsy mila izany.
Ho an'ireo mpiaro, ireto ny fanamarinana azo ampiharina: fanairana momba ny fifandraisana mivoaka avy amin'ny fitoeran-javatra build/CI mankany amin'ny IP ampahibemaso tsy nahazoana alalana mandritra ny npm install; araho maso ny fidirana IMDS avy amin'ny script momba ny tsingerin'ny fonosana; ary hevero ho mampiahiahy izay install hook izay mandefa any amin'ny cloud CLI mandra-pahazoana porofo fa tsy izany.
Fanamarihana roa fanampiny manokana ho an'ity vondrona ity. Voalohany, satria ny fampandehanana dia voaaro amin'ny tontolo iainana anaty fitoeran-javatra, ny fonosana izay toa tsy miasa rehefa voamarina amin'ny toeram-piasana dia mbola afaka miasa mivantana amin'ny famokarana - ny fanamarinana dia mila mamerina ny anaran'ny mpampiantrano sy ny fepetra momba ny lalana ao anaty fitoeran-javatra, na mamaky mivantana ny loharano, fa tsy miantehitra amin'ny hoe "Nametraka izany aho ary tsy nisy na inona na inona nitranga." Faharoa, ny fampiasana serivisy fanaraha-maso fangatahana ampahibemaso ho toy ny mpanangona beacon dia midika fa ny sasany amin'ireo angon-drakitra nesorina dia mety ho azo averina amin'ny valin'ny tranga: ny fikambanana iray izay mahita ny iray amin'ireo fonosana ireo ao amin'ny hazo fiankinan-doha dia afaka mieritreritra momba izay ho tao anatin'ny beacon nahomby avy amin'ny lojika fanangonana payload, ary tokony hanodina ny fahazoan-dàlana andraikitra IAM, ny mari-pamantarana rejisitra, ary ny tsiambaratelo tantanina izay azo tratrarina avy amin'ny tontolo iainana fananganana na runtime voakasik'izany. Fihodinana fahazoan-dàlana, fa tsy fanesorana fonosana, no fanarenana miasa rehefa vita ny fametrahana.
