Shai-Hulud: Spjegazzjoni tad-Dudu tal-Pakketti npm

Impatt Eżekuttiv tal-Attakk tal-Katina tal-Provvista ta' Shai-Hulud

Shai-Hulud għadu attiv illum. Dan id-dudu jħaffef il-kronoloġija tal-impatt. Dak li darba kien jieħu ġimgħat ma' trojan issa jiżvolġi f'sigħat. B'riżultat ta' dan, it-tixrid huwa aktar mgħaġġel u aktar diffiċli biex jiġi kkontrollat. Javvanza billi:

• Serq ta' tokens ta' pubblikazzjoni tal-npm u sigrieti tal-GitHub.
• Tippubblika mill-ġdid lilu nnifsu f'pakketti npm oħra.
• Żieda ta' workflows ta' GitHub Actions malizzjużi għall-persistenza.

Min hu affettwat:

Kull tim li jinstalla pakketti pubbliċi npm huwa espost. Barra minn hekk, żviluppaturi b'npm jew tokens GitHub fil-cache jiffaċċjaw riskju għoli. Dawk li jħaddmu s-CI li jużaw sigrieti b'ambitu wiesa' huma wkoll vulnerabbli.

Riskju tan-negozju

L-impatt fuq in-negozju jikber malajr. Tokens misruqa jistgħu jwasslu għal teħid ta' kont, ħtif ta' pakketti, u anke użu ħażin tal-cloud. Barra minn hekk, il-persistenza fil-flussi tax-xogħol ta' GitHub tagħmilha aktar diffiċli biex titnaddaf. Għalhekk, it-timijiet għandhom jittrattaw lil Shai-Hulud bħala inċident li għadu għaddej, mhux wieħed magħluq.

Kif Jaħdem l-Attakk tal-Katina tal-Provvista ta' Shai-Hulud fil-Pakketti npm

L-għanijiet u l-motiv tal-attakkant

Il-kampanja tottimizza għal tliet affarijiet:

• L - ewwel għan huwa li jisirqu l-kredenzjali fuq skala kbira minn laptops tal-iżviluppaturi u runners tas-CI. Dan jinkludi tokens tal-pubblikazzjoni npm, tokens tal-GitHub, u kredenzjali tal-cloud. Fil-fatt, analiżijiet multipli jikkonfermaw il-ġbir sistematiku tas-sigrieti, bħat-tħaddim ta' TruffleHog u l-interrogazzjoni tal-endpoints tal-metadata tal-cloud.
• It-tieni objettiv huwa li jippropaga awtomatikament billi jabbużaw mid-drittijiet tal-pubblikazzjoni ta' dawk li jżommu l-pakkett kompromess. B'riżultat ta' dan, bażi waħda tespandi malajr f'ħafna, peress li jidhru verżjonijiet infettati ġodda ta' pakketti oħra mingħajr sforz uman addizzjonali.
• It-tielet objettiv huwa li jippersisti u jesfiltra b'mod affidabbli permezz tal-infrastruttura ta' GitHub. L-attakkanti joħolqu repo pubbliku bl-isem "Shai-Hulud" b'bażi ​​doppja64 dejta.json, u barra minn hekk iħawlu fluss tax-xogħol li jisserjalizza ${{ toJSON(sigrieti) }} u tibgħatha lil webhook statiku.

Il-benefiċċju probabbli jinkludi aċċess fit-tul għar-reġistri u l-kodiċi tas-sors, moviment laterali mgħaġġel fil-kontijiet tal-cloud, u l-għażla li l-katina tal-provvista tiġi armata aktar. Ir-rappurtar pubbliku juri li r-repożitorji privati ​​​​tagħlqu għall-pubbliku b' "-migrazzjoni" suffiss, li jżid l-esponiment u l-momentum tad-dejta

Ġewwa l-Payload ta' Shai-Hulud: bundle.js fil-Pakketti npm

Il-vapuri ta' Shai-Hulud bħala kbar, miġbura fil-Webpack u mminimizzati ħafna Fajl JavaScript (bundle.js, madwar 3–3.7 MB) li tesegwixxi minn a wara l-installazzjoni ganċ package.jsonKonsegwentement, Kull installazzjoni tattiva l-payload awtomatikament. Dan id-disinn jaħbi l-identifikaturi, jikkompressa l-fluss tal-kontroll, u jimbotta l-loġika kollha f'artefatt wieħed li jiġi eżegwit waqt l-installazzjoni. L-analisti jikkonfermaw b'mod konsistenti l-irbit tal-Webpack, id-daqs mhux tas-soltu tal-fajl, u l-eżekuzzjoni fil-ħin tal-installazzjoni.

Karatteristiċi ta' offuskazzjoni u kontra l-analiżi li se tara fil-kampjuni:

• Grafika tal-modulu mminimizzata b'IDs numeriċi tal-moduli, kummenti sparsi, u fluss ta' kontroll iċċattjat. Barra minn hekk, Din l-istruttura tagħmel ir-reviżjoni manwali estremament diffiċli.
• Ħabi ta' kordi permezz ta' saffi base64 u assistenti tal-kostruzzjoni. Pereżempju, Kodifikazzjoni u dekodifikazzjoni ripetuti tal-base64 ġeneralment jidhru madwar rutini ta' esfiltrazzjoni.
• Dispaċċ dinamiku permezz eval-mudelli ta' stil u korpi ta' funzjonijiet iġġenerati, u b'hekk jippermettu li l-kodiċi jibdel l-imġieba waqt l-eżekuzzjoni.
• Iffiltrar tal-OS li jippreferu l-eżekuzzjoni ta' Linux u macOS partikolarment fuq runners tas-CI u laptops tal-iżviluppaturi.

Minn angolu funzjonali, il-pakkett huwa modulari. Id-dokumenti jiddeskrivu moduli għall-iskoperta tal-OS, skens tas-sistema tal-fajls u s-sigrieti tal-git, aċċess għall-cloud SDK, operazzjonijiet tal-GitHub API, u magna ta' propagazzjoni li teditja pakketti oħra li jippossjedi l-manutentur. Fil-fatt, StepSecurity u ReversingLabs it-tnejn jenfasizzaw funzjoni li taġġorna awtomatikament il-pakketti bil-hook malizzjuż.

Eżekuzzjoni fil-Ħin tal-Installazzjoni f'Shai-Hulud: Kif il-Pakketti npm Jattivaw id-Dudu

L-attakk jibda meta nodu ta' tmexxija wara l-installazzjoni bundle.js. F'dan il-punt, l-iskritt jinizzjalizza u jiżżappakkja l-istat tax-xogħol fil-memorja, u b'hekk jipprepara l-bażi għall-operazzjoni sħiħa tad-dudu.

Skoperta u ħsad

• Il-payload jagħmel dumps ta' process.env u jiskennja fajls lokali għal sigrieti ta' entropija għolja u prefissi ta' tokens. Barra minn hekk, jestendi l-kopertura billi jħaddem TruffleHog.
• Jagħmel mistoqsijiet lill-endpoints tal-metadata tal-cloud biex jiġbor kredenzjali għal żmien qasir. Per eżempju, sejħiet lil 169.254.169.254 fuq l-AWS jew metadata.google.internal fuq GCP spiss jidhru f'ospiti infettati.
• Konsegwentement, Kull kredenzjali misjuba ssir immedjatament użabbli biex tippubblika pakketti npm ġodda jew timbotta workflows ta' GitHub.

Esfiltrazzjoni

• Id-dudu joħloq repożitorju ġdid ta' GitHub bl-isem Shai Hulud u jikteb kodiċi doppju base64 data.json bid-dettalji tal-pjattaforma, dumps tal-ambjent, u sigrieti. Kif jidher, dan l-imġiba storbjuża hija faċli biex tinnota jekk id-difensuri jkunu jafu fejn għandhom ifittxu.
• Tħawwel ukoll fluss tax-xogħol ta' GitHub Actions, ħafna drabi fuq fergħa bl-isem shai-hulud, li jisserjalizza ${{ toJSON(secrets) }} u tibgħat id-dejta lil webhook statiku. Barra minn hekk, dan il-fluss tax-xogħol jippersisti sakemm xi ħadd ineħħih b'mod attiv.

Propagazzjoni

• Ma' kwalunkwe token npm skopert, il-payload telenka l-pakketti kollha li huma proprjetà tal-manutentur kompromess. Imbagħad, iġib kull tarball, jinjetta bundle.js u entrata ta' wara l-installazzjoni, u jerġa' jippubblika l-pakkett.
• B'riżultat ta' dan, għexieren ta' pakketti infettati jistgħu jidhru fi ftit sigħat, u b'hekk jimmultiplikaw ir-raġġ tal-isplużjoni fl-ekosistema kollha.

Persistenza u espożizzjoni

• Id-dudu jżomm il-flussi tax-xogħol malizzjużi ħajjin u, f'diversi każijiet, jaqleb ir-repożitorji privati ​​għal pubbliċi b' "-migrazzjoni" suffiss. B'kollox, dan jiżgura li l-attakkant iżomm bażi soda u jimmassimizza t-tnixxija tad-dejta.

Nota ewlenija ta' skoperta
Dan l-użu mhux tas-soltu ta' ${{ toJSON(secrets) }} fil-flussi tax-xogħol tal-Azzjonijiet huwa rari. Għalhekk, It-timijiet għandhom jittrattawh bħala indikatur ta' sinjal għoli waqt il-kaċċa.

Mudell ta' fluss tax-xogħol sanitizzat li għandek tfittex

Dan l-użu mhux tas-soltu ta' għal JSON(sigrieti) f'Azzjonijiet huwa indikatur ta' sinjal għoli f'dan l-inċident.

Psewdo-kodiċi ta' propagazzjoni ta' livell għoli (sikur, deskrittiv)