शाई-हुलुद: एनपीएम पॅकेजेस वर्मचे स्पष्टीकरण

शाई-हुलुद पुरवठा साखळी हल्ल्याचा कार्यकारी परिणाम

शाय-हुलुद आजही सक्रिय आहे. हा वर्म परिणामाची कालमर्यादा जलद करतो. ट्रोजनमुळे ज्या गोष्टी घडायला पूर्वी आठवडे लागायचे, त्या आता काही तासांतच घडतात. परिणामी, प्रसार अधिक वेगाने होतो आणि त्याला आटोक्यात आणणे अधिक कठीण होते. त्याची प्रगती खालीलप्रमाणे होते:

• npm पब्लिश टोकन आणि GitHub सिक्रेट्स चोरणे.
• स्वतःला इतर npm पॅकेजेसमध्ये पुन्हा प्रकाशित करणे.
• दुर्भावनापूर्ण GitHub Actions वर्कफ्लो कायमस्वरूपी ठेवण्यासाठी जोडणे.

कोण बाधित आहे:

सार्वजनिक npm पॅकेजेस इन्स्टॉल करणारी कोणतीही टीम धोक्यात असते. शिवाय, कॅश्ड npm किंवा GitHub टोकन्स वापरणाऱ्या डेव्हलपर्सना मोठा धोका असतो. ब्रॉड-स्कोप सिक्रेट्स वापरणारे CI रनर्सदेखील असुरक्षित असतात.

व्यवसाय जोखीम

व्यवसायावर होणारा परिणाम झपाट्याने वाढतो. चोरलेल्या टोकन्समुळे अकाउंट हॅक होणे, पॅकेज हायजॅकिंग आणि क्लाउडचा गैरवापरसुद्धा होऊ शकतो. याव्यतिरिक्त, GitHub वर्कफ्लोमध्ये डेटा टिकून राहत असल्यामुळे तो स्वच्छ करणे अधिक कठीण होते. त्यामुळेसंघांनी शाई-हुलुद घटनेला एक बंद झालेली घटना न मानता, एक चालू असलेली घटना म्हणून हाताळले पाहिजे.

npm पॅकेजेसमध्ये शाई-हुलुड सप्लाय चेन हल्ला कसा काम करतो

हल्लेखोरांची उद्दिष्ट्ये आणि हेतू

ही मोहीम तीन गोष्टी साध्य करण्यासाठी अनुकूलित केली आहे:

• पहिले उद्दिष्ट हे आहे की मोठ्या प्रमाणावर क्रेडेन्शियल्स चोरणे डेव्हलपर लॅपटॉप आणि सीआय रनर्सकडून. यामध्ये एनपीएम पब्लिश टोकन्स, गिटहब टोकन्स आणि क्लाउड क्रेडेंशियल्स यांचा समावेश आहे. वास्तविक पाहता, अनेक विश्लेषणांनी पद्धतशीरपणे गुप्त माहिती गोळा केली जात असल्याची पुष्टी केली आहे, जसे की ट्रफलहॉग चालवणे आणि क्लाउड मेटाडेटा एंडपॉइंट्सना क्वेरी करणे.
• दुसरा उद्देश हा आहे की आपोआप पसरते हॅक झालेल्या देखरेखकर्त्यांच्या प्रकाशन अधिकारांचा गैरवापर करून. परिणामी, एक पायंडा झपाट्याने अनेक पायंड्यांमध्ये विस्तारतो, कारण इतर पॅकेजेसच्या नवीन संक्रमित आवृत्त्या कोणत्याही अतिरिक्त मानवी प्रयत्नांशिवाय दिसू लागतात.
• तिसरे उद्दिष्ट आहे की टिकून राहणे आणि विश्वसनीयपणे बाहेर पडणे गिटहबच्या पायाभूत सुविधांद्वारे, हल्लेखोर डबल बेस64 सह “Shai-Hulud” नावाचे एक सार्वजनिक रेपो तयार करतात. डेटा.जेसनआणि त्याव्यतिरिक्त ते एक असा वर्कफ्लो स्थापित करतात जो क्रमबद्ध करतो ${{ toJSON(secrets) }} आणि ते एका स्टॅटिक वेबहुकवर पोस्ट करते.

संभाव्य फायद्यांमध्ये रजिस्ट्री आणि सोर्स कोडमध्ये दीर्घकाळ टिकणारा प्रवेश, क्लाउड खात्यांमध्ये जलद लॅटरल मूव्हमेंट आणि पुरवठा साखळीला अधिक शस्त्रसज्ज करण्याचा पर्याय यांचा समावेश आहे. सार्वजनिक अहवाल दर्शवतात की खाजगी रिपॉझिटरीज सार्वजनिक करण्यात आल्या आहेत. "-स्थलांतर" प्रत्यय, जो डेटा एक्सपोजर आणि गती वाढवतो

शाई-हुलुड पेलोडच्या आत: बंडल.जेएस एनपीएम पॅकेजेसमध्ये

शाय-हुलुड जहाजे म्हणून मोठे, वेबपॅक-बंडल केलेले आणि मोठ्या प्रमाणात मिनिफाय केलेले जावास्क्रिप्ट फाइल (बंडल.जेएस, सुमारे ३–३.७ एमबी) जे पासून कार्यान्वित होते पोस्टइंस्टॉल हुक इन package.jsonपरिणामी, प्रत्येक इन्स्टॉल पेलोडला आपोआप ट्रिगर करते. ही रचना आयडेंटिफायर्स लपवते, कंट्रोल फ्लो संकुचित करते आणि सर्व लॉजिक एकाच आर्टिफॅक्टमध्ये एकत्र करते, जे इन्स्टॉलेशन दरम्यान कार्यान्वित होते. विश्लेषक सातत्याने वेबपॅक बंडलिंग, असामान्य फाइल आकार आणि इन्स्टॉल-टाइम एक्झिक्यूशनची पुष्टी करतात.

नमुन्यांमध्ये तुम्हाला आढळणारी अस्पष्टता आणि विश्लेषण-विरोधी वैशिष्ट्ये:

• संक्षिप्त मॉड्यूल आलेख संख्यात्मक मॉड्यूल आयडी, मोजक्या टिप्पण्या आणि सपाट नियंत्रण प्रवाहासह. शिवाय, या रचनेमुळे मॅन्युअल रिव्ह्यू करणे अत्यंत कठीण होते.
• स्ट्रिंग लपवणे base64 लेयर्स आणि कन्स्ट्रक्शन हेल्पर्सच्या माध्यमातून. उदाहरणार्थ, वारंवार होणारे बेस64 एन्कोडिंग आणि डीकोडिंग सहसा माहिती बाहेर काढण्याच्या प्रक्रियेत दिसून येतात.
• डायनॅमिक डिस्पॅच माध्यमातून स्पष्ट-शैलीतील पॅटर्न आणि जनरेट केलेल्या फंक्शन बॉडी, त्यामुळे कोडला रनटाइमवर वर्तन बदलण्यास सक्षम करते.
• ओएस फिल्टरिंग विशेषतः सीआय रनर्स आणि डेव्हलपर लॅपटॉपवर लिनक्स आणि मॅकओएस एक्झिक्यूशनला प्राधान्य देणे.

कार्यात्मक दृष्ट्या, हे बंडल मॉड्यूलर आहे. लेखांमध्ये OS शोध, फाइलसिस्टम आणि गिट सिक्रेट स्कॅन, क्लाउड SDK ऍक्सेस, GitHub API ऑपरेशन्स आणि मेंटेनरच्या मालकीच्या इतर पॅकेजेसमध्ये बदल करणाऱ्या प्रोपगेशन इंजिनसाठीच्या मॉड्यूल्सचे वर्णन आहे. वास्तविक पाहता, StepSecurity आणि ReversingLabs दोन्ही एका अशा फंक्शनवर प्रकाश टाकतात जे मालवेअर असलेल्या हुकसह पॅकेजेस आपोआप अपडेट करते.

शाई-हुलुडमध्ये इन्स्टॉल-टाइम एक्झिक्यूशन: एनपीएम पॅकेजेस वर्मला कसे ट्रिगर करतात

जेव्हा हल्ला सुरू होतो postinstall नोड चालवते बंडल.जेएस. या टप्प्यावर, स्क्रिप्ट मेमरीमध्ये कार्यरत स्थिती सुरू करते आणि उलगडते, ज्यामुळे वर्मच्या संपूर्ण कार्यासाठी पार्श्वभूमी तयार होते.

शोध आणि संकलन

• पेलोड process.env डंप करतो आणि उच्च-एन्ट्रॉपी सिक्रेट्स व टोकन प्रीफिक्सेससाठी स्थानिक फाइल्स स्कॅन करतो. याव्यतिरिक्त, तो TruffleHog चालवून व्याप्ती वाढवतो.
• ते अल्पायुषी क्रेडेन्शियल्स गोळा करण्यासाठी क्लाउड मेटाडेटा एंडपॉइंट्सना क्वेरी करते. उदाहरणार्थ, कॉल करणे 169.254.169.254 AWS वर किंवा metadata.google.internal GCP वर दिसणारे अनेकदा संक्रमित होस्टमध्ये आढळतात.
• यामुळे, मिळालेले कोणतेही क्रेडेन्शियल नवीन npm पॅकेजेस प्रकाशित करण्यासाठी किंवा GitHub वर्कफ्लो पुश करण्यासाठी त्वरित वापरता येते.

बाहेर काढणे

• वर्म नावाचे एक नवीन GitHub रेपो तयार करतो शाई हुलुद आणि दुहेरी बेस64-एनकोडेड लिहितो data.json प्लॅटफॉर्म तपशील, पर्यावरण डंप आणि सिक्रेट्ससह. जसे की दिसून येते, जर बचाव करणाऱ्यांना कुठे पाहायचे हे माहित असेल तर हे गोंधळात टाकणारे वर्तन ओळखणे सोपे आहे.
• ते अनेकदा नावाच्या ब्रांचवर एक GitHub Actions वर्कफ्लो देखील स्थापित करते. शाई-हुलुदजे क्रमबद्ध करते ${{ toJSON(secrets) }} आणि स्टॅटिक वेबहुकला डेटा पोस्ट करतो. शिवाय, जोपर्यंत कोणीतरी ते स्वतःहून काढून टाकत नाही, तोपर्यंत हा वर्कफ्लो कायम राहतो.

प्रसार

• सापडलेल्या कोणत्याही npm टोकनच्या आधारे, पेलोड हॅक झालेल्या मेंटेनरच्या मालकीच्या सर्व पॅकेजेसची यादी करतो. त्यानंतर, तो प्रत्येक टारबॉल मिळवतो, त्यात bundle.js आणि एक postinstall एन्ट्री टाकतो, आणि पॅकेज पुन्हा प्रकाशित करतो.
• परिणामी, काही तासांतच डझनभर संक्रमित पॅकेजेस दिसू शकतात, ज्यामुळे संपूर्ण परिसंस्थेवर होणारा परिणाम अनेक पटींनी वाढतो.

चिकाटी आणि संपर्क

• हा वर्म दुर्भावनापूर्ण वर्कफ्लो जिवंत ठेवतो आणि, अनेक प्रकरणांमध्ये, खाजगी रिपॉझिटरींना सार्वजनिक करतो. "-स्थलांतर" प्रत्यय. एकंदरीत, यामुळे आक्रमणकर्त्याला आपले स्थान टिकवून ठेवता येते आणि डेटा गळतीची शक्यता वाढते.

मुख्य शोध नोंद
याचा असामान्य वापर ${{ toJSON(secrets) }} अॅक्शन्स वर्कफ्लोमध्ये हे दुर्मिळ आहे. म्हणून, शिकारीच्या वेळी संघांनी याला उच्च-संकेत निर्देशक म्हणून मानले पाहिजे.

तुम्ही शोधला पाहिजे असा एक सुधारित कार्यप्रवाह नमुना.

याचा असामान्य वापर ते JSON(गुप्त) या घटनेमध्ये 'कृती' हा एक उच्च-संकेत निर्देशक आहे.

उच्च-स्तरीय प्रसारण स्यूडो-कोड (सुरक्षित, वर्णनात्मक)