Shai-Hulud: Penjelasan tentang Cacing Pakej npm

Kesan Eksekutif Serangan Rantaian Bekalan Shai-Hulud

Shai-Hulud masih aktif hari ini. Cacing ini mempercepatkan garis masa impak. Apa yang pernah mengambil masa berminggu-minggu dengan trojan kini terbongkar dalam beberapa jam. Hasilnya, penyebarannya lebih cepat dan lebih sukar untuk dibendung. Ia maju dengan:

• Mencuri token penerbitan npm dan rahsia GitHub.
• Menerbitkan semula dirinya ke dalam pakej npm yang lain.
• Menambah aliran kerja Tindakan GitHub yang berniat jahat untuk kegigihan.

Siapa yang terjejas:

Mana-mana pasukan yang memasang pakej npm awam terdedah. Selain itu, pembangun dengan token npm atau GitHub yang disimpan dalam cache menghadapi risiko tinggi. Pelari CI yang menggunakan rahsia berskala luas juga terdedah.

Risiko perniagaan

Kesan perniagaan meningkat dengan cepat. Token yang dicuri boleh menyebabkan pengambilalihan akaun, rampasan pakej dan juga penyalahgunaan awan. Di samping itu, kegigihan dalam aliran kerja GitHub menjadikannya lebih sukar untuk dibersihkan. Oleh itu,, pasukan mesti menganggap Shai-Hulud sebagai insiden yang sedang berlaku, bukan insiden tertutup.

Bagaimana Serangan Rantaian Bekalan Shai-Hulud Berfungsi dalam Pakej npm

Objektif dan motif penyerang

Kempen ini mengoptimumkan untuk tiga perkara:

• Objektif pertama adalah untuk mencuri kelayakan pada skala besar daripada komputer riba pembangun dan pelari CI. Ini termasuk token penerbitan npm, token GitHub dan kelayakan awan. Malah, pelbagai analisis mengesahkan penuaian rahsia sistematik, seperti menjalankan TruffleHog dan menanyakan titik akhir metadata awan.
• Objektif kedua adalah untuk merambat secara automatik dengan menyalahgunakan hak penerbitan penyelenggara yang terjejas. Akibatnya, satu tapak bertapak dengan cepat berkembang menjadi banyak, memandangkan versi pakej lain yang dijangkiti baharu muncul tanpa usaha manusia tambahan.
• Objektif ketiga adalah untuk berterusan dan keluarkan penyusupan dengan andal melalui infrastruktur GitHub. Penyerang mencipta repo awam bernama “Shai-Hulud” dengan pangkalan berganda64 data.json, dan sebagai tambahan mereka menanam aliran kerja yang bersiri ${{ toJSON(rahsia) }} dan menyiarkannya ke webhook statik.

Ganjaran yang mungkin termasuk akses jangka panjang kepada pendaftaran dan kod sumber, pergerakan lateral yang pantas ke dalam akaun awan dan pilihan untuk mempersenjatai rantaian bekalan dengan lebih lanjut. Pelaporan awam menunjukkan repo persendirian dibalikkan kepada awam dengan "-migrasi" akhiran, yang meningkatkan pendedahan dan momentum data

Di dalam Muatan Shai-Hulud: bundle.js dalam Pakej npm

Kapal Shai-Hulud sebagai besar, dibundel Webpack dan diminimumkan secara besar-besaran Fail JavaScript (bundle.js, kira-kira 3–3.7 MB) yang dilaksanakan daripada selepas pemasangan sangkut masuk package.jsonAkibatnya, Setiap pemasangan mencetuskan muatan secara automatik. Reka bentuk ini menyembunyikan pengecam, memampatkan aliran kawalan dan menolak semua logik ke dalam satu artifak yang dilaksanakan semasa pemasangan. Penganalisis secara konsisten mengesahkan penggabungan Webpack, saiz fail yang luar biasa dan pelaksanaan masa pemasangan.

Ciri-ciri kekaburan dan anti-analisis yang akan anda lihat dalam sampel:

• Graf modul yang diminimumkan dengan ID modul berangka, komen yang jarang dan aliran kawalan yang rata. Selain itu, Struktur ini menjadikan semakan manual sangat sukar.
• Penyembunyian rentetan melalui lapisan base64 dan pembantu pembinaan. Contohnya, Pengekodan dan penyahkodan base64 berulang biasanya muncul di sekitar rutin pengekstrakan penapisan.
• Penghantaran dinamik melalui menipucorak gaya dan badan fungsi yang dijana, justeru membolehkan kod mengubah tingkah laku semasa masa jalan.
• Penapisan OS untuk mengutamakan pelaksanaan Linux dan macOS terutamanya pada pelari CI dan komputer riba pembangun.

Dari sudut fungsian, pakej ini adalah modular. Penulisan menerangkan modul untuk penemuan OS, sistem fail dan imbasan rahsia git, akses SDK awan, operasi API GitHub dan enjin penyebaran yang mengedit pakej lain yang dimiliki oleh penyelenggara. Malah, StepSecurity dan ReversingLabs kedua-duanya menyerlahkan fungsi yang mengemas kini pakej secara automatik dengan cangkuk berniat jahat.

Pelaksanaan Masa Pemasangan dalam Shai-Hulud: Bagaimana Pakej npm Mencetuskan Cacing

Serangan bermula apabila selepas pemasangan menjalankan nod bundle.js. Pada ketika ini, skrip akan memulakan dan membuka skop keadaan kerja dalam memori, menyediakan pentas untuk operasi penuh cacing.

Penemuan dan penuaian

• Dump muatan memproses .env dan mengimbas fail setempat untuk rahsia entropi tinggi dan awalan token. Di samping itu, ia meluaskan liputan dengan menjalankan TruffleHog.
• Ia menanyakan titik akhir metadata awan untuk mengumpul kelayakan jangka pendek. Sebagai contoh, panggilan ke 169.254.169.254 pada AWS atau metadata.google.internal pada GCP sering muncul dalam perumah yang dijangkiti.
• Oleh yang demikian, sebarang kelayakan yang ditemui boleh digunakan serta-merta untuk menerbitkan pakej npm baharu atau menolak aliran kerja GitHub.

exfiltration

• Cacing itu mencipta repo GitHub baharu bernama Shai Hulud dan menulis kod berganda base64 data.json dengan butiran platform, tempat pembuangan sampah persekitaran dan rahsia. Seperti yang dapat dilihat, tingkah laku bising ini mudah dikesan jika pembela tahu di mana hendak mencari.
• Ia juga menanam aliran kerja GitHub Actions, selalunya pada cabang bernama shai-hulud, yang bersiri ${{ toJSON(secrets) }} dan menyiarkan data ke webhook statik. Tambahan pula, aliran kerja ini berterusan sehingga seseorang mengalih keluarnya secara aktif.

Penyebaran

• Dengan sebarang token npm yang ditemui, muatan menyenaraikan semua pakej yang dimiliki oleh penyelenggara yang dikompromi. Kemudian, ia mengambil setiap tarball, menyuntik bundle.js dan entri pasca pemasangan, dan menerbitkan semula pakej tersebut.
• Akibatnya, berpuluh-puluh pakej yang dijangkiti boleh muncul dalam masa beberapa jam, mendarabkan jejari letupan merentasi ekosistem.

Kegigihan dan pendedahan

• Cacing ini memastikan aliran kerja berniat jahat terus hidup dan, dalam beberapa kes, membalikkan repo peribadi kepada awam dengan "-migrasi" akhiran. Secara keseluruhannya, ini memastikan penyerang mengekalkan kedudukan dan memaksimumkan kebocoran data.

Nota pengesanan kunci
Penggunaan yang luar biasa ini ${{ toJSON(secrets) }} aliran kerja dalam Tindakan jarang berlaku. Oleh itu, pasukan harus menganggapnya sebagai penunjuk isyarat tinggi semasa pemburuan.

Corak aliran kerja yang bersih yang perlu anda cari

Penggunaan yang luar biasa ini kepada JSON(rahsia) dalam Tindakan ialah penunjuk isyarat tinggi dalam insiden ini.

Pseudokod penyebaran peringkat tinggi (selamat, deskriptif)