Shai-Hulud: Fanazavana ny kankana fonosana npm

Fiantraikan'ny fanafihana ny rojo famatsiana Shai-Hulud amin'ny mpitantana

Mbola miasa ankehitriny ny Shai-Hulud. Manafaingana ny fe-potoana iatrehana ity kankana ity. Izay naharitra herinandro maro tamin'ny trojan taloha dia miparitaka ao anatin'ny ora maro ankehitriny. Vokatr'izany, haingana kokoa ary sarotra kokoa ny mifehy ny fiparitahana. Mandroso amin'ny:

• Fangalarana ny tokens famoahana npm sy ny tsiambaratelon'ny GitHub.
• Mamoaka ny tenany indray ao anaty fonosana npm hafa.
• Manampy ireo workflows GitHub Actions manimba ho an'ny faharetana.

Iza no voa:

Voafandrika izay ekipa rehetra mametraka fonosana npm ho an'ny daholobe. Ankoatra izany, ireo mpamorona rindrambaiko manana npm na GitHub voatahiry dia miatrika risika avo lenta. Ireo CI runner izay mampiasa tsiambaratelo midadasika dia marefo ihany koa.

Risika ara-barotra

Mitombo haingana ny fiantraikan'ny orinasa. Ny halatra token dia mety hitarika amin'ny fakana an-keriny ny kaonty, ny fakana an-keriny ny fonosana, ary na dia ny fampiasana diso ny rahona aza. Ankoatra izany, ny faharetan'ny fizotran'ny asa ao amin'ny GitHub dia mahatonga azy io ho sarotra diovina. Noho izany, tsy maintsy raisin'ireo ekipa ho toy ny tranga efa misy ny Shai-Hulud, fa tsy ho toy ny tranga mikatona.

Ahoana ny fiasan'ny fanafihana rojo famatsiana Shai-Hulud ao amin'ny fonosana npm

Tanjon'ny mpanafika sy ny antony manosika azy

Ny fampielezan-kevitra dia manatsara zavatra telo:

• Ny tanjona voalohany dia ny mangalatra fahazoan-dàlana amin'ny ambaratonga lehibe avy amin'ny solosaina finday mpamorona sy ny CI runners. Tafiditra ao anatin'izany ny npm publish tokens, GitHub tokens, ary cloud credentials. Raha ny marina, fanadihadiana maro no manamarina ny fanangonana tsiambaratelo ara-sistematika, toy ny fampandehanana ny TruffleHog sy ny fangatahana ireo endpoint metadata cloud.
• Ny tanjona faharoa dia ny miely ho azy amin'ny fanararaotana ny zon'ny mpamoaka lahatsoratra an'ireo mpikojakoja voajirika. Vokatr'izany, mivelatra haingana ho maro ny toerana iray, satria mipoitra tsy misy ezaka fanampiny ataon'olombelona ny dikan-teny vaovao voajirika amin'ny fonosana hafa.
• Ny tanjona fahatelo dia ny maharitra ary mivoaka amin'ny fomba azo antoka amin'ny alàlan'ny fotodrafitrasa GitHub. Mamorona repo ho an'ny daholobe antsoina hoe "Shai-Hulud" miaraka amin'ny base64 roa sosona ireo mpanafika. data.json, ary ankoatra izany dia mamboly fomba fiasa izay mizara ho andiany izy ireo ${{ toJSON(tsiambaratelo) }} ary mandefa izany any amin'ny webhook static.

Ny tombony azo inoana dia ahitana ny fidirana maharitra amin'ny rejisitra sy ny kaody loharano, ny fifindrana haingana mankany amin'ny kaonty rahona, ary ny safidy hampiasana bebe kokoa ny rojo famatsiana. Ny tatitra ampahibemaso dia mampiseho fa navadika ho an'ny daholobe ny repo manokana miaraka amin'ny "-fifindra-monina" tovana, izay mampitombo ny fiparitahan'ny angona sy ny hafainganam-pandeha

Ao anatin'ny Entana Shai-Hulud: bundle.js ao amin'ny fonosana npm

Sambo Shai-Hulud ho toy ny lehibe, voafono ao anaty Webpack ary nohafohezina be rakitra JavaScript (bundle.js, eo amin'ny 3–3.7 MB eo ho eo) izay miasa avy amin'ny aorian'ny fametrahana miditra package.jsonVokatr'izany, Ny fametrahana tsirairay dia manetsika ho azy ny entana. Ity endrika ity dia manafina ny famantarana, manindry ny fikorianan'ny fanaraha-maso, ary manosika ny lojika rehetra ho lasa zavatra tokana izay miasa mandritra ny fametrahana. Manamarina tsy tapaka ny fampivondronana Webpack, ny haben'ny rakitra tsy mahazatra, ary ny fanatanterahana ny fotoana fametrahana ireo mpandinika.

Ireo toetra mampiavaka ny fanafenana sy ny fanoherana ny fanadihadiana izay ho hitanao amin'ny santionany:

• Grafikan'ny môdioly nohafohezina miaraka amin'ny ID môdioly nomerika, fanehoan-kevitra vitsy, ary fikorianan'ny fanaraha-maso mirindra. Ankoatra izany, Mahatonga ny famerenana amin'ny tanana ho tena sarotra ity rafitra ity.
• Tady miafina amin'ny alalan'ny sosona base64 sy mpanampy amin'ny fanorenana. Ohatra, Ny fandikana sy ny famaritana base64 miverimberina dia mazàna miseho manodidina ny fomba fiasa exfiltration.
• Fandefasana mavitrika amin'ny alalan'ny eval-style patterns sy fonction body novokarina, noho izany dia ahafahan'ny code manova ny fitondran-tena mandritra ny runtime.
• Sivana OS aleony kokoa ny fanatanterahana ny Linux sy macOS indrindra amin'ny CI runners sy solosaina finday ho an'ny mpamorona rindrambaiko.

Raha jerena amin'ny lafiny fiasany, dia modular ny fonosana. Ny lahatsoratra dia mamaritra ireo môdioly ho an'ny fikarohana OS, ny scan-n'ny rafitra rakitra sy ny tsiambaratelo git, ny fidirana amin'ny cloud SDK, ny fiasan'ny GitHub API, ary ny motera fampielezana izay manova ireo fonosana hafa an'ny mpikojakoja. Raha ny marina, ny StepSecurity sy ny ReversingLabs dia samy manasongadina fiasa iray izay manavao ho azy ireo fonosana amin'ny alàlan'ny hook maloto.

Fampiharana amin'ny fotoana fametrahana ao amin'ny Shai-Hulud: Ahoana no fomba fampandehanan'ny fonosana npm ny kankana

Manomboka ny fanafihana rehefa miasa ny node aorian'ny fametrahana bundle.js. Amin'izao fotoana izao, ny script dia manomboka sy mamaha ny toetry ny fiasan'ny kankana ao amin'ny fahatsiarovana, mametraka ny dingana ho an'ny fiasan'ny kankana feno.

Fahitana sy fijinjana

• Ny payload dumps dia manao process.env ary mijery ireo rakitra eo an-toerana mba hahitana tsiambaratelo entropy avo lenta sy token prefixes. Ho fanampin'izany, dia manitatra ny fandrakofana amin'ny alàlan'ny fampiasana TruffleHog.
• Manao fanadihadiana momba ny metadata amin'ny rahona izy io mba hanangonana fahazoan-dàlana fohy ezaka. Ohatra, miantso 169.254.169.254 amin'ny AWS na metadata.google.internal matetika miseho amin'ny mpampiantrano voan'ny aretina ny GCP.
• Noho izany, Ny fahazoan-dàlana rehetra hita dia azo ampiasaina avy hatrany hamoahana fonosana npm vaovao na hanosehana ny workflows GitHub.

Exfiltration

• Mamorona repo GitHub vaovao antsoina hoe Shai Hulud ary manoratra dika mitovy amin'ny base64 roa sosona data.json miaraka amin'ny antsipirian'ny sehatra, ny toerana fanariam-pako manodidina ny tontolo iainana, ary ny tsiambaratelo. Araka ny hita, mora hita ity fihetsika mitabataba ity raha fantatry ny mpiaro ny toerana tokony hijerena.
• Mamboly workflow GitHub Actions ihany koa izy io, matetika amin'ny sampana iray antsoina hoe shai-hulud, izay mizara ho andiany ${{ toJSON(secrets) }} ary mandefa ny angona any amin'ny webhook tsy mihetsika. Ankoatra izany, mitohy io fomba fiasa io mandra-panalan'ny olona azy tanteraka.

fampielezana

• Amin'izay token npm hita rehetra, ny payload dia manisa ny fonosana rehetra an'ny mpikojakoja voajirika. Avy eo, maka ny tarball tsirairay izy, mampiditra bundle.js sy fidirana postinstall, ary mamoaka indray ny fonosana.
• Vokatr'izany, fonosana am-polony maro no mety hiseho ao anatin'ny ora vitsivitsy, izay mampitombo ny savaivony fipoahana manerana ny tontolo iainana.

Fikirizana sy fiparitahana

• Mitazona ny fizotran'ny asa ratsy ho velona ilay kankana ary, amin'ny tranga maro, dia mamadika ny repos manokana ho an'ny daholobe miaraka amin'ny "-fifindra-monina" tovana. Amin'ny ankapobeny, izany dia miantoka fa ny mpanafika dia mitazona toerana ary mampitombo ny fivoahan'ny angona.

Fanamarihana momba ny fitadiavana lakile
Ity fampiasana tsy mahazatra ity ${{ toJSON(secrets) }} Mahalana vao misy ny workflows ao amin'ny Actions. Noho izany, tokony horaisin'ireo ekipa ho toy ny famantarana avo lenta mandritra ny fihazana izany.

Endrika fiasana voadio tokony hotadiavinao

Ity fampiasana tsy mahazatra ity ny JSON(tsiambaratelo) in Actions dia famantarana avo lenta amin'ity tranga ity.

Kaody sandoka fampielezana ambaratonga avo lenta (azo antoka, mamaritra)