Shai-Hulud: npm Packages Worm အကြောင်း ရှင်းလင်းချက်

Shai-Hulud ထောက်ပံ့ရေးကွင်းဆက်တိုက်ခိုက်မှု၏ အုပ်ချုပ်ရေးဆိုင်ရာသက်ရောက်မှု

Shai-Hulud သည် ယနေ့တိုင် တက်ကြွနေဆဲဖြစ်သည်။ ဤ worm သည် သက်ရောက်မှုအချိန်ဇယားကို မြန်ဆန်စေသည်။ တစ်ချိန်က trojan တစ်ခုဖြင့် ရက်သတ္တပတ်များစွာ ကြာခဲ့ရသည့်အရာသည် ယခုအခါ နာရီပိုင်းအတွင်း ပေါ်ပေါက်လာသည်။ ရလဒ်အနေဖြင့် ပျံ့နှံ့မှုသည် ပိုမိုမြန်ဆန်ပြီး ထိန်းချုပ်ရန် ပိုမိုခက်ခဲပါသည်။ ၎င်းသည် အောက်ပါတို့ဖြင့် တိုးတက်သည်-

• npm publish tokens များနှင့် GitHub လျှို့ဝှက်ချက်များကို ခိုးယူခြင်း။
• ၎င်းကိုယ်တိုင်ကို အခြား npm package များထဲသို့ ပြန်လည်ထုတ်ဝေခြင်း။
• တည်တံ့ခိုင်မြဲစေရန်အတွက် အန္တရာယ်ရှိသော GitHub Actions workflow များကို ထည့်သွင်းခြင်း။

ဘယ်သူတွေ ထိခိုက်ခံရလဲ-

အများသုံး npm package များကို install လုပ်သည့် မည်သည့်အဖွဲ့မဆို ပေါက်ကြားနိုင်ပါသည်။ ထို့အပြင်၊ cache လုပ်ထားသော npm သို့မဟုတ် GitHub token များပါရှိသော developer များသည် အန္တရာယ်များပါသည်။ broad-scoped secret များကို အသုံးပြုသည့် CI runner များသည်လည်း အားနည်းချက်ရှိပါသည်။

စီးပွားရေးအန္တရာယ်

စီးပွားရေးသက်ရောက်မှုသည် အလျင်အမြန်ကြီးထွားလာသည်။ ခိုးယူခံရသော တိုကင်များသည် အကောင့်သိမ်းပိုက်ခြင်း၊ ပက်ကေ့ဂျ်ခိုးယူခြင်းနှင့် cloud အလွဲသုံးစားမှုပင် ဖြစ်စေနိုင်သည်။ ထို့အပြင် GitHub workflows များတွင် တည်တံ့နေခြင်းကြောင့် ၎င်းကို ရှင်းလင်းရန် ပိုမိုခက်ခဲစေသည်။ ထို့ကြောင့်အဖွဲ့များသည် Shai-Hulud ကို ပိတ်ထားသောဖြစ်ရပ်တစ်ခုအဖြစ် မဟုတ်ဘဲ ဆက်လက်ဖြစ်ပွားနေသောဖြစ်ရပ်တစ်ခုအဖြစ် သဘောထားရမည်။

Shai-Hulud Supply Chain Attack က npm Packages တွေမှာ ဘယ်လိုအလုပ်လုပ်သလဲ။

တိုက်ခိုက်သူ၏ ရည်ရွယ်ချက်နှင့် ရည်ရွယ်ချက်

ဒီ campaign က အောက်ပါအချက်သုံးချက်အတွက် အကောင်းဆုံးဖြစ်အောင် လုပ်ဆောင်ထားပါတယ်-

• ပထမရည်မှန်းချက်ကတော့ အထောက်အထားများကို ကျယ်ကျယ်ပြန့်ပြန့် ခိုးယူခြင်း developer laptop များနှင့် CI runner များမှ။ ၎င်းတွင် npm publish token များ၊ GitHub token များနှင့် cloud credentials များ ပါဝင်သည်။ အမှန်စင်စစ်၊ TruffleHog ကို run ခြင်းနှင့် cloud metadata endpoint များကို query လုပ်ခြင်းကဲ့သို့သော စနစ်တကျ secret harvesting ကို analysis များစွာက အတည်ပြုပါသည်။
• ဒုတိယရည်မှန်းချက်ကတော့ အလိုအလျောက်ပျံ့နှံ့သွားသည် ထိန်းချုပ်ခံထားရသော ထိန်းသိမ်းသူများ၏ ထုတ်ဝေခွင့်များကို အလွဲသုံးစားပြုခြင်းဖြင့်။ ရလဒ်အနေဖြင့်၊ အခြား package များ၏ ကူးစက်ခံရသော ဗားရှင်းအသစ်များသည် နောက်ထပ်လူသားအားထုတ်မှုမပါဘဲ ပေါ်လာသောကြောင့် ခြေကုပ်တစ်ခုသည် ခြေကုပ်များစွာအဖြစ်သို့ လျင်မြန်စွာ ကျယ်ပြန့်သွားသည်။
• တတိယရည်မှန်းချက်ကတော့ ယုံကြည်စိတ်ချစွာ တည်တံ့ပြီး စစ်ထုတ်နိုင်သည် GitHub အခြေခံအဆောက်အအုံမှတစ်ဆင့်။ တိုက်ခိုက်သူများသည် double base64 ပါသည့် “Shai-Hulud” အမည်ရှိ public repo တစ်ခုကို ဖန်တီးကြသည်။ data.jsonထို့အပြင် ၎င်းတို့သည် စီးရီးလိုက်လုပ်ဆောင်သည့် workflow တစ်ခုကို စိုက်ထူသည် ${{ toJSON(secrets) }} ပြီးတော့ static webhook မှာ တင်ပါတယ်။

ဖြစ်နိုင်ခြေရှိသော အကျိုးအမြတ်တွင် မှတ်ပုံတင်ခြင်းများနှင့် source code များကို ရေရှည်ဝင်ရောက်ခွင့်၊ cloud အကောင့်များထဲသို့ မြန်ဆန်သော ဘေးတိုက်ရွှေ့ပြောင်းမှုနှင့် ထောက်ပံ့ရေးကွင်းဆက်ကို လက်နက်အဖြစ် ထပ်မံအသုံးပြုရန် ရွေးချယ်ခွင့်တို့ ပါဝင်သည်။ အများပြည်သူဆိုင်ရာ အစီရင်ခံစာများအရ ပုဂ္ဂလိက repos များကို အများပြည်သူသို့ ပြောင်းလဲခဲ့သည်ကို ပြသထားသည် "- ရွှေ့ပြောင်းခြင်း" ဒေတာထိတွေ့မှုနှင့် အရှိန်အဟုန်ကို မြှင့်တင်ပေးသည့် နောက်ဆက်

Shai-Hulud Payload အတွင်းပိုင်း bundle.js npm အထုပ်များတွင်

Shai-Hulud သင်္ဘောများသည် ကြီးမားပြီး၊ Webpack-bundle ဖြင့် ပြုလုပ်ထားပြီး အလွန်သေးငယ်အောင် ပြုလုပ်ထားသည် JavaScript ဖိုင် (bundle.js, ၃–၃.၇ MB ခန့်) တစ်ခုမှ လုပ်ဆောင်သည် တပ်ဆင်ပါ။ ချိတ်ဆွဲပါ မြတ်စွာဘုရား။ ထို့ကြောင့်, ထည့်သွင်းမှုတိုင်းသည် payload ကို အလိုအလျောက် လှုံ့ဆော်ပေးသည်။ ဤဒီဇိုင်းသည် identifier များကို ဖုံးကွယ်ထားပြီး၊ control flow ကို ချုံ့ကာ၊ installation လုပ်နေစဉ်အတွင်း လုပ်ဆောင်သည့် artifact တစ်ခုတည်းထဲသို့ logic အားလုံးကို တွန်းပို့သည်။ ခွဲခြမ်းစိတ်ဖြာသူများသည် Webpack bundling၊ ပုံမှန်မဟုတ်သော ဖိုင်အရွယ်အစားနှင့် install လုပ်ချိန် လုပ်ဆောင်မှုကို အဆက်မပြတ် အတည်ပြုကြသည်။

နမူနာများတွင် သင်တွေ့မြင်ရမည့် မှုန်ဝါးဝါးဖြစ်စေခြင်းနှင့် ခွဲခြမ်းစိတ်ဖြာမှုကို ဆန့်ကျင်သည့် လက္ခဏာများ-

• အသေးစားပြုလုပ်ထားသော မော်ဂျူးဂရပ် ဂဏန်း module ID များ၊ မှတ်ချက်နည်းပါးခြင်းနှင့် ပြားချပ်သော control flow တို့ဖြင့်။ ထို့အပြင်, ဤဖွဲ့စည်းပုံသည် ကိုယ်တိုင်ပြန်လည်သုံးသပ်ခြင်းကို အလွန်ခက်ခဲစေသည်။
• ကြိုးဝှက်ခြင်း base64 layer များနှင့် construction helper များမှတစ်ဆင့်။ ဥပမာအားဖြင့်, exfiltration လုပ်ရိုးလုပ်စဉ်များတဝိုက်တွင် ထပ်ခါတလဲလဲ base64 encoding နှင့် decoding များ ပေါ်လာလေ့ရှိသည်။
• ဒိုင်းနမစ် ပေးပို့မှု ဖြတ်. အကဲဖြတ်-style ပုံစံများနှင့် function bodies များကို ထုတ်လုပ်ပေးသောကြောင့် ကုဒ်သည် runtime တွင် အပြုအမူကို ပြောင်းလဲနိုင်စေပါသည်။
• OS စစ်ထုတ်ခြင်း အထူးသဖြင့် CI runner များနှင့် developer laptop များတွင် Linux နှင့် macOS လုပ်ဆောင်မှုကို ပိုမိုနှစ်သက်ရန်။

လုပ်ဆောင်ချက်ရှုထောင့်မှကြည့်လျှင် အစုအဝေးသည် မော်ဂျူလာဖြစ်သည်။ Writeup များတွင် OS ရှာဖွေတွေ့ရှိမှု၊ filesystem နှင့် git secret scan များ၊ cloud SDK access၊ GitHub API လုပ်ဆောင်ချက်များနှင့် maintainer ပိုင်ဆိုင်သော အခြား package များကို တည်းဖြတ်သည့် propagation engine အတွက် module များကို ဖော်ပြထားသည်။ အမှန်မှာ၊ StepSecurity နှင့် ReversingLabs နှစ်ခုစလုံးသည် malicious hook ဖြင့် package များကို အလိုအလျောက် update လုပ်သည့် function တစ်ခုကို မီးမောင်းထိုးပြထားသည်။

Shai-Hulud မှာ Install-Time Execution: npm Packages တွေက Worm ကို ဘယ်လို Trigger လုပ်သလဲ

တိုက်ခိုက်မှုစတင်ချိန်မှာ ထည့်သွင်းပြီးနောက် node ကို လုပ်ဆောင်သည် bundle.js. ဤအချိန်တွင် script သည် memory အတွင်းရှိ အလုပ်လုပ်နေသော အခြေအနေကို initialize လုပ်ပြီး unpack လုပ်ကာ worm ၏ အပြည့်အဝ လုပ်ဆောင်ချက်အတွက် အဆင့်ကို သတ်မှတ်ပေးပါသည်။

ရှာဖွေတွေ့ရှိမှုနှင့် ရိတ်သိမ်းခြင်း

• payload သည် process.env ကို dumps လုပ်ပြီး high-entropy secrets များနှင့် token prefixes များအတွက် local files များကို scan ဖတ်သည်။ ထို့အပြင်၊ ၎င်းသည် TruffleHog ကို run ခြင်းဖြင့် coverage ကို တိုးချဲ့သည်။
• ၎င်းသည် ရေတိုအထောက်အထားများကို စုဆောင်းရန် cloud metadata endpoint များကို မေးမြန်းသည်။ ဥပမာအားဖြင့်, ဖုန်းခေါ်ဆိုရန် 169.254.169.254 AWS မှာ ဒါမှမဟုတ် metadata.google.internal GCP ပေါ်တွင် ကူးစက်ခံထားရသော host များတွင် မကြာခဏ ပေါ်လာလေ့ရှိသည်။
• အကျိုးဆက် တွေ့ရှိထားသော မည်သည့်အထောက်အထားမဆို npm package အသစ်များကို ထုတ်ဝေရန် သို့မဟုတ် GitHub workflow များကို push လုပ်ရန် ချက်ချင်းအသုံးပြုနိုင်သည်။

Exfiltration

• worm က GitHub repo အသစ်တစ်ခုကို ဖန်တီးပါတယ်လို့ အမည်ပေးထားပါတယ်။ Shai Hulud ပြီးတော့ double base64-encoded ကိုရေးပါတယ် data.json ပလက်ဖောင်းအသေးစိတ်အချက်အလက်များ၊ ပတ်ဝန်းကျင် dump များနှင့် လျှို့ဝှက်ချက်များပါရှိသည်။ မြင်တွေ့ရသည့်အတိုင်း၊ ဤဆူညံသောအပြုအမူကို ခုခံကာကွယ်သူများသည် ဘယ်မှာကြည့်ရမည်ကို သိပါက အလွယ်တကူ သိရှိနိုင်သည်။
• ၎င်းသည် GitHub Actions workflow တစ်ခုကိုလည်း တည်ဆောက်ထားပြီး၊ မကြာခဏဆိုသလို branch တစ်ခုတွင် shai-hulud, စီးရီးလိုက် ${{ toJSON(secrets) }} ပြီးတော့ ဒေတာကို static webhook တစ်ခုဆီ တင်ပါတယ်။ ထို့အပြင်၊ ဒီ workflow ဟာ တစ်စုံတစ်ယောက်က တက်ကြွစွာ ဖယ်ရှားတဲ့အထိ ဆက်လက်တည်ရှိနေပါတယ်။

ဝါဒဖြန့်

• ရှာဖွေတွေ့ရှိထားသော npm token တိုင်းနှင့်အတူ၊ payload သည် compromised maintainer ပိုင်ဆိုင်သော package အားလုံးကို စာရင်းပြုစုသည်။ ထို့နောက်၊ ၎င်းသည် tarball တစ်ခုချင်းစီကို ရယူပြီး bundle.js နှင့် postinstall entry တစ်ခုကို ထိုးသွင်းကာ package ကို ပြန်လည်ထုတ်ဝေသည်။
• ရလဒ်အနေဖြင့်၊ ကူးစက်ခံရသော အထုပ်များစွာသည် နာရီပိုင်းအတွင်း ပေါ်လာနိုင်ပြီး ဂေဟစနစ်တစ်လျှောက် ပေါက်ကွဲမှုအချင်းဝက်ကို မြှောက်နိုင်သည်။

တည်တံ့မှုနှင့် ထိတွေ့မှု

• worm သည် malicious workflows များကို အသက်ရှင်နေစေပြီး၊ များစွာသောကိစ္စများတွင် private repos များကို public သို့ ပြောင်းပေးသည်။ "- ရွှေ့ပြောင်းခြင်း" နောက်ဆက်။ အားလုံးပေါင်းလိုက်လျှင် ၎င်းသည် တိုက်ခိုက်သူအား ခြေကုပ်ယူထားနိုင်စေပြီး အချက်အလက်ယိုစိမ့်မှုကို အများဆုံးဖြစ်စေကြောင်း သေချာစေသည်။

သော့ချက်ရှာဖွေခြင်းမှတ်စု
ဒီလို ထူးထူးခြားခြား အသုံးပြုမှု ${{ toJSON(secrets) }} Actions workflows များတွင် ရှားပါးသည်။ ထိုကွောငျ့, အဖွဲ့များသည် ၎င်းကို အမဲလိုက်နေစဉ်အတွင်း အချက်ပြမှုမြင့်မားသော အညွှန်းကိန်းတစ်ခုအဖြစ် သဘောထားသင့်သည်။

သင်ရှာဖွေသင့်သော သန့်ရှင်းသပ်ရပ်သော workflow pattern

ဒီလို ထူးထူးခြားခြား အသုံးပြုမှု သို့ JSON (လျှို့ဝှက်ချက်များ) ဤဖြစ်ရပ်တွင် Actions သည် မြင့်မားသောအချက်ပြမှုညွှန်ပြချက်တစ်ခုဖြစ်သည်။

အဆင့်မြင့်ပြန့်ပွားမှု pseudo-code (ဘေးကင်းသည်၊ ဖော်ပြချက်)