Шаи-Хулуд: Објаснување на црвот за пакети npm

Влијание на извршните директори од нападот врз снабдувачкиот синџир Шаи-Хулуд

Шаи-Хулуд е сè уште активен денес. Овој црв го забрзува временската рамка на ударот. Она што некогаш траеше со недели со тројанец сега се одвива за неколку часа. Како резултат на тоа, ширењето е побрзо и потешко за ограничување. Напредува преку:

• Крадење на npm објавувачки токени и GitHub тајни.
• Се објавува себеси во други npm пакети.
• Додавање на злонамерни работни процеси во GitHub Actions за упорност.

Кој е засегнат:

Секој тим што инсталира јавни npm пакети е изложен. Покрај тоа, програмерите со кеширани npm или GitHub токени се соочуваат со висок ризик. CI извршителите што користат тајни со широк опсег се исто така ранливи.

Деловен ризик

Влијанието врз бизнисот брзо расте. Украдените токени можат да доведат до преземање на сметка, киднапирање на пакети, па дури и злоупотреба на облак. Покрај тоа, постојаноста во работните процеси на GitHub го отежнува чистењето. Затоа, тимовите мора да го третираат Шаи-Хулуд како тековен инцидент, а не како завршен.

Како функционира нападот на снабдувачкиот синџир Shai-Hulud во npm пакетите

Цели и мотив на напаѓачот

Кампањата оптимизира за три работи:

• Првата цел е да крадење на акредитиви во голем обем од лаптопи на програмери и CI извршувачи. Ова вклучува npm објавувачки токени, GitHub токени и cloud акредитиви. Всушност, повеќекратни анализи потврдуваат систематско тајно собирање, како што е извршување на TruffleHog и барање на крајни точки на метаподатоци во cloud.
• Втората цел е да се пропагирај автоматски со злоупотреба на правата за објавување на компромитирани одржувачи. Како резултат на тоа, едно упориште брзо се шири во многу, бидејќи нови заразени верзии на други пакети се појавуваат без дополнителен човечки напор.
• Третата цел е да се перзистираат и ексфилтрираат сигурно преку инфраструктурата на GitHub. Напаѓачите креираат јавно складиште наречено „Shai-Hulud“ со двојна база64 податоци.json, и покрај тоа, тие вградуваат работен тек што сериализира ${{ toJSON(тајни) }} и го објавува на статичен вебхук.

Веројатната исплата вклучува долготраен пристап до регистрите и изворниот код, брзо латерално движење во облачни сметки и можност за понатамошно вооружување на синџирот на снабдување. Јавните извештаи покажуваат дека приватните репозиториуми се предадени на јавноста со „-миграција“ суфикс, што ја зголемува изложеноста на податоци и моментумот

Внатре во товарот Шаи-Хулуд: пакет.js во npm пакети

Шаи-Хулуд се испорачува како голем, спакуван во веб-пакет и силно минифициран JavaScript датотека (пакет.js, околу 3–3.7 МБ) што се извршува од постинсталација закачи се пакет.jsonСледствено, Секоја инсталација автоматски го активира товарот. Овој дизајн ги крие идентификаторите, го компресира контролниот тек и ја турка целата логика во еден артефакт што се извршува за време на инсталацијата. Аналитичарите постојано потврдуваат групирање на Webpack, необична големина на датотека и извршување за време на инсталацијата.

Замаглување и анти-анализа карактеристики што ќе ги видите во примероците:

• Минифициран графикон на модулот со нумерички ID-а на модули, ретки коментари и сплескан контролен тек. Покрај тоа,, Оваа структура го прави рачниот преглед исклучително тежок.
• Криење на низа преку base64 слоеви и помошници за конструкција. На пример, Повтореното кодирање и декодирање со base64 обично се појавуваат околу рутините за ексфилтрација.
• Динамично испраќање преку евалуација-стил шеми и генерирани тела на функции, со што се овозможува кодот да го менува однесувањето за време на извршување.
• Филтрирање на оперативниот систем да се претпочита извршување на Linux и macOS, особено на CI извршувачи и лаптопи за програмери.

Од функционален агол, снопот е модуларен. Во записите се опишани модули за откривање на оперативниот систем, скенирање на датотечен систем и тајни скенирања на git, пристап до cloud SDK, операции на GitHub API и механизам за пропагација што ги уредува другите пакети што ги поседува одржувачот. Всушност, StepSecurity и ReversingLabs истакнуваат функција што автоматски ги ажурира пакетите со малициозната кука.

Извршување во време на инсталација во Shai-Hulud: Како npm пакетите го активираат црвот

Нападот започнува кога постинсталацијата го извршува јазолот пакет.js. Во овој момент, скриптата се иницијализира и ја распакува работната состојба во меморијата, поставувајќи ја сцената за целосно функционирање на црвот.

Откривање и берба

• Товарот го дампира process.env и ги скенира локалните датотеки за тајни со висока ентропија и префикси на токени. Покрај тоа, го проширува опсегот со извршување на TruffleHog.
• Ги пребарува крајните точки на метаподатоците во облакот за да собере краткотрајни ингеренции. На пример, повикува на 169.254.169.254 на AWS или metadata.google.internal на GCP често се појавуваат кај заразени домаќини.
• Како резултат на тоа, Секој пронајден акредитив станува веднаш употреблив за објавување нови npm пакети или поттикнување на работни процеси на GitHub.

Ексфилтрација

• Црвот создава ново GitHub репозиториум со име Шаи Хулуд и пишува двојно кодирано со база64 data.json со детали за платформата, дампови на околината и тајни. Како што може да се види, ова бучно однесување е лесно да се забележи ако бранителите знаат каде да бараат.
• Исто така, вградува работен тек на GitHub Actions, честопати на гранка со име шаи-хулуд, што серијализира ${{ toJSON(secrets) }} и ги објавува податоците на статичен веб-хук. Понатаму, овој работен тек продолжува сè додека некој активно не го отстрани.

Размножување

• Со секој откриен npm токен, payload-от ги набројува сите пакети во сопственост на компромитираниот одржувач. Потоа, го презема секој tarball, инјектира bundle.js и постинсталациски запис и го објавува повторно пакетот.
• Како резултат на тоа, десетици заразени пакети можат да се појават за само неколку часа, множејќи го радиусот на експлозијата низ екосистемот.

Упорност и изложеност

• Црвот ги одржува штетните работни процеси активни и, во неколку случаи, ги префрла приватните складишта во јавни со „-миграција“ суфикс. Севкупно, ова му обезбедува на напаѓачот да одржи упориште и го максимизира истекувањето на податоци.

Белешка за откривање на клуч
Оваа необична употреба на ${{ toJSON(secrets) }} работните процеси во Actions се ретки. Затоа, Тимовите треба да го третираат како индикатор за висок сигнал за време на ловот.

Саниран работен образец што треба да го барате

Оваа необична употреба на до JSON (тајни) во Акции е индикатор за висок сигнал во овој инцидент.

Псевдо-код за пропагација на високо ниво (безбеден, описен)