Шай-Хулуд: npm багцын өтний тайлбар

Шай-Хулуд хангамжийн сүлжээний халдлагын гүйцэтгэх нөлөө

Шай-Хулуд өнөөдөр ч идэвхтэй хэвээр байна. Энэ өт нь нөлөөллийн хугацааг хурдасгадаг. Троянтай хэдэн долоо хоног үргэлжилсэн зүйл одоо хэдэн цагийн дотор дэлгэрдэг. Үүний үр дүнд, тархалт нь илүү хурдан бөгөөд барихад хэцүү байдаг. Энэ нь дараах байдлаар урагшилдаг:

• npm нийтлэх жетон болон GitHub нууцыг хулгайлах.
• Өөрийгөө бусад npm багцууд руу дахин нийтэлж байна.
• Тогтвортой байдлыг хангахын тулд хортой GitHub Actions ажлын урсгалыг нэмж байна.

Хэн нөлөөлж байна:

Олон нийтийн npm багцуудыг суулгасан аливаа баг эрсдэлд ордог. Түүнчлэн, кэшлэгдсэн npm эсвэл GitHub токентой хөгжүүлэгчид өндөр эрсдэлтэй тулгардаг. Өргөн хүрээтэй нууцыг ашигладаг CI runners нь мөн эмзэг байдаг.

Бизнесийн эрсдэл

Бизнесийн нөлөө хурдацтай өсч байна. Хулгайлагдсан токенууд нь дансыг булаан авах, багцыг булаан авах, тэр ч байтугай үүлэн тооцооллыг буруу ашиглахад хүргэж болзошгүй. Үүнээс гадна, GitHub ажлын урсгалд үлдэх нь цэвэрлэхэд хэцүү болгодог. Тиймээс, багууд Шай-Хулудыг хаалттай биш, харин үргэлжилж буй үйл явдал гэж үзэх ёстой.

Шай-Хулуд хангамжийн сүлжээний халдлага нь npm багцуудад хэрхэн ажилладаг вэ

Довтлогчийн зорилго, сэдэл

Кампанит ажил нь гурван зүйлийг оновчтой болгодог:

• Эхний зорилго бол итгэмжлэлийг өргөн хүрээнд хулгайлах хөгжүүлэгч зөөврийн компьютер болон CI runner-ээс. Үүнд npm нийтлэх токен, GitHub токен, үүлэн тооцооллын итгэмжлэлүүд багтана. Үнэндээ олон шинжилгээ нь TruffleHog ажиллуулах, үүлэн мета өгөгдлийн төгсгөлийн цэгүүдийг асуух зэрэг системчилсэн нууц цуглуулгыг баталгаажуулдаг.
• Хоёр дахь зорилго нь автоматаар тархах эвдэрсэн засвар үйлчилгээний эзэмшигчдийн нийтлэх эрхийг урвуулан ашигласнаар. Үүний үр дүнд, хүний ​​нэмэлт хүчин чармайлтгүйгээр бусад багцуудын шинэ халдвар авсан хувилбарууд гарч ирдэг тул нэг тулгуур нь хурдан олон болж өргөждөг.
• Гурав дахь зорилго нь найдвартайгаар тэсвэрлэж, шүүрч авна GitHub дэд бүтцээр дамжуулан. Халдагчид давхар суурьтай “Шай-Хулуд” нэртэй олон нийтийн репозитор үүсгэдэг64 data.jsonмөн үүнээс гадна тэд цувралжуулдаг ажлын урсгалыг тарьдаг ${{ toJSON(нууц) }} мөн үүнийг статик вэбхук руу байршуулдаг.

Үүний үр дүнд бүртгэл болон эх код руу удаан хугацаанд нэвтрэх, үүлэн данс руу хурдан шилжих, хангамжийн сүлжээг цаашид зэвсэглэх сонголт зэрэг боломжууд багтаж магадгүй юм. Олон нийтийн тайланд хувийн репозиторууд олон нийтэд нээлттэй болсон нь харагдаж байна. "-шилжилт" дагавар нь өгөгдлийн илрэл болон эрч хүчийг нэмэгдүүлдэг

Шай-Хулудын ачааны дотор: багц.js npm багцуудад

Шай-Хулуд хөлөг онгоцоор ... том хэмжээтэй, Вэбпакет багцалсан бөгөөд маш их хэмжээгээр жижигрүүлсэн JavaScript файл (багц.js, ойролцоогоор 3–3.7 MB) нь суулгасны дараах дэгээнд оруулах багц.jsonҮүний үр дүнд, Суулгалт бүр нь ачааллыг автоматаар идэвхжүүлдэг. Энэхүү загвар нь танигчдыг нууж, удирдлагын урсгалыг шахаж, бүх логикийг суулгалтын явцад ажилладаг нэг артефакт руу түлхдэг. Шинжээчид Webpack багцлал, ер бусын файлын хэмжээ, суулгалтын хугацааны гүйцэтгэлийг байнга баталж байдаг.

Дээжүүдээс харагдах бүдгэрүүлэлт ба шинжилгээний эсрэг шинж чанарууд:

• Минификацилагдсан модулийн график тоон модулийн ID, сийрэг тайлбар, хавтгайрсан удирдлагын урсгалтай. Түүнчлэн, Энэ бүтэц нь гараар хянах ажлыг маш хэцүү болгодог.
• Утас нуух base64 давхаргууд болон барилгын туслахуудаар дамжуулан. Жишээлбэл, base64 кодчилол болон декодчилол давтагдах нь ихэвчлэн exfiltration rut-ийн эргэн тойронд гарч ирдэг.
• Динамик диспетчер дамжуулан үнэлгээ-style patterns болон үүсгэсэн функцийн биетүүд, ингэснээр код нь ажиллах үеийн зан төлөвийг өөрчлөх боломжийг олгодог.
• Үйлдлийн системийн шүүлтүүр ялангуяа CI ажиллуулагч болон хөгжүүлэгчийн зөөврийн компьютер дээр Linux болон macOS-ийн гүйцэтгэлийг илүүд үзэх.

Функциональ өнцгөөс харахад багц нь модульчлагдсан байдаг. Writeups нь үйлдлийн системийг илрүүлэх, файлын систем болон git нууц сканнердах, үүлэн SDK хандалт, GitHub API үйлдлүүд болон засварлагчийн эзэмшдэг бусад багцуудыг засварладаг тархалтын хөдөлгүүрийн модулиудыг тайлбарладаг. Үнэндээ StepSecurity болон ReversingLabs хоёулаа хортой дэгээгээр багцуудыг автоматаар шинэчилдэг функцийг онцолдог.

Шай-Хулуд дахь суулгах хугацааны гүйцэтгэл: npm багцууд нь өтийг хэрхэн идэвхжүүлдэг вэ

Довтолгоо хэзээ эхэлдэг вэ postinstall нь зангилааг ажиллуулдаг багц.js. Энэ үед скрипт нь санах ой дахь ажлын төлөвийг эхлүүлж, задалдаг бөгөөд энэ нь өтний бүрэн ажиллагаатай байх үе шатыг тавьдаг.

Нээлт ба ургац хураалт

• Ачаа нь process.env файлыг задалж, өндөр энтропийн нууцлал болон токены угтваруудыг локал файлуудаас шалгадаг. Үүнээс гадна, энэ нь TruffleHog-г ажиллуулснаар хамрах хүрээг өргөжүүлдэг.
• Энэ нь богино хугацааны итгэмжлэл цуглуулахын тулд үүлэн мета өгөгдлийн төгсгөлийн цэгүүдийг асуудаг. Жишээлбэл, руу залгадаг 169.254.169.254 AWS дээр эсвэл metadata.google.internal GCP дээр халдвар авсан хостуудад ихэвчлэн гарч ирдэг.
• Үүний үр дүнд, Олдсон аливаа итгэмжлэлийг шинэ npm багцуудыг нийтлэх эсвэл GitHub ажлын урсгалыг түлхэхэд нэн даруй ашиглах боломжтой болно.

Шүүрэлт

• Өт нь нэртэй шинэ GitHub репозитор үүсгэдэг. Шай Хулуд мөн давхар base64-кодлогдсон гэж бичдэг data.json платформын дэлгэрэнгүй мэдээлэл, орчны мэдээлэл болон нууцуудтай. Харж байгаачлан, хамгаалагчид хаанаас хайхаа мэддэг бол энэхүү чимээ шуугиантай зан авирыг илрүүлэхэд хялбар байдаг.
• Энэ нь мөн GitHub Actions ажлын урсгалыг ихэвчлэн нэртэй салбар дээр суулгадаг. Шай-хулуд, энэ нь цувралжуулдаг ${{ toJSON(secrets) }} мөн өгөгдлийг статик вэбхук руу байршуулдаг. Цаашилбал, энэ ажлын урсгал хэн нэгэн үүнийг идэвхтэйгээр устгах хүртэл үргэлжилнэ.

Тархалт

• Илэрсэн npm токентой үед payload нь эвдэрсэн засварлагчийн эзэмшдэг бүх багцуудыг тоолно. Дараа нь энэ нь tarball бүрийг татаж аваад, bundle.js болон postinstall оруулгыг оруулж, багцыг дахин нийтэлнэ.
• Үүний үр дүнд хэдхэн цагийн дотор хэдэн арван халдвар авсан багц гарч ирэх бөгөөд энэ нь экосистем даяарх дэлбэрэлтийн радиусыг үржүүлдэг.

Тэсвэр тэвчээр ба өртөлт

• Энэ өт нь хортой ажлын урсгалыг амьд байлгаж, хэд хэдэн тохиолдолд хувийн репозиторуудыг public болгож хувиргадаг. "-шилжилт" дагавар. Нийтдээ энэ нь халдагчийг байр сууриа хадгалж, өгөгдлийн алдагдлыг хамгийн их байлгах боломжийг олгодог.

Түлхүүр илрүүлэх тэмдэглэл
Энэхүү ер бусын хэрэглээ ${{ toJSON(secrets) }} Үйлдлүүдэд ажлын урсгал ховор байдаг. Тиймээс, Багууд үүнийг ан агнуурын үеэр өндөр дохионы индикатор гэж үзэх хэрэгтэй.

Таны хайх ёстой ариутгасан ажлын урсгалын хэв маяг

Энэхүү ер бусын хэрэглээ to JSON(нууцууд) in Actions нь энэ тохиолдолд өндөр дохионы индикатор юм.

Өндөр түвшний тархалтын псевдо-код (аюулгүй, тайлбарлах)