Shai-Hulud: Forklaring av npm-pakkeormen

Konsekvensene av Shai-Hulud-forsyningskjedeangrepet for ledelsen

Shai-Hulud er fortsatt aktiv i dag. Denne ormen fremskynder nedslagstidslinjen. Det som en gang tok uker med en trojaner, utfolder seg nå i løpet av timer. Som et resultat, spredningen er raskere og vanskeligere å begrense. Den går videre ved å:

• Stjeler npm-publiseringstokener og GitHub-hemmeligheter.
• Publiserer seg selv på nytt i andre npm-pakker.
• Legger til ondsinnede GitHub Actions-arbeidsflyter for utholdenhet.

Hvem er berørt:

Alle team som installerer offentlige npm-pakker er eksponert. Dessuten står utviklere med hurtigbufrede npm- eller GitHub-tokens overfor høy risiko. CI-kjørere som bruker hemmeligheter med bredt omfang er også sårbare.

Forretningsrisiko

Forretningspåvirkningen vokser raskt. Stjålne tokens kan føre til kontoovertakelse, pakkekapring og til og med misbruk av skyen. I tillegg gjør vedvarende GitHub-arbeidsflyter det vanskeligere å rydde opp. Derfor, må lagene behandle Shai-Hulud som en pågående hendelse, ikke en lukket en.

Hvordan Shai-Hulud Supply Chain-angrepet fungerer i npm-pakker

Angriperens mål og motiv

Kampanjen optimaliserer for tre ting:

• Det første målet er å stjele legitimasjon i stor skala fra utviklerbærbare datamaskiner og CI-brukere. Dette inkluderer npm-publiseringstokener, GitHub-tokener og skylegitimasjon. Faktisk bekrefter flere analyser systematisk innsamling av hemmeligheter, som å kjøre TruffleHog og spørre skymetadata-endepunkter.
• Det andre målet er å forplanter seg automatisk ved å misbruke publiseringsrettighetene til kompromitterte vedlikeholdere. Som et resultat utvides ett fotfeste raskt til mange, siden nye infiserte versjoner av andre pakker dukker opp uten ytterligere menneskelig innsats.
• Det tredje målet er å vedvarer og eksfiltrerer pålitelig gjennom GitHub-infrastrukturen. Angripere oppretter et offentlig repo kalt «Shai-Hulud» med en dobbel base64 data.json, og i tillegg planter de en arbeidsflyt som serialiserer ${{ toJSON(hemmeligheter) }} og legger den ut på en statisk webhook.

Den sannsynlige gevinsten inkluderer langvarig tilgang til registre og kildekode, rask lateral overføring til skykontoer og muligheten til å bevæpne forsyningskjeden ytterligere. Offentlig rapportering viser at private repositorier er gjort offentlige med en «-migrasjon» suffiks, som øker dataeksponering og momentum

Inne i Shai-Hulud-nyttelasten: bundle.js i npm-pakker

Shai-Hulud sender som en stor, Webpack-bundlet og sterkt minimert JavaScript-fil (bundle.js, omtrent 3–3.7 MB) som utføres fra en etterinstallasjon hekte inn pakke.jsonFølgelig, Hver installasjon utløser nyttelasten automatisk. Denne designen skjuler identifikatorer, komprimerer kontrollflyten og samler all logikk i én artefakt som kjøres under installasjonen. Analytikere bekrefter konsekvent Webpack-bundling, uvanlig filstørrelse og utførelse på installasjonstidspunktet.

Tilslørings- og antianalysetrekk du vil se i eksempler:

• Minimert modulgraf med numeriske modul-ID-er, spredte kommentarer og flatere kontrollflyt. Dessuten, Denne strukturen gjør manuell gjennomgang ekstremt vanskelig.
• Strengskjuling via base64-lag og konstruksjonshjelpere. For eksempel, gjentatt base64-koding og -dekoding forekommer vanligvis rundt eksfiltreringsrutiner.
• Dynamisk utsendelse gjennom eval-stilmønstre og genererte funksjonslegemer, og dermed muliggjør koden endring av oppførsel under kjøretid.
• OS-filtrering å foretrekke Linux- og macOS-kjøring, spesielt på CI-kjørere og bærbare datamaskiner for utviklere.

Fra et funksjonelt perspektiv er pakken modulær. Sammendrag beskriver moduler for OS-oppdagelse, skanning av filsystemer og git-hemmeligheter, tilgang til skybaserte SDK-er, GitHub API-operasjoner og en forplantningsmotor som redigerer andre pakker som vedlikeholderen eier. Faktisk fremhever både StepSecurity og ReversingLabs en funksjon som automatisk oppdaterer pakker med den ondsinnede hooken.

Utførelse på installasjonstid i Shai-Hulud: Hvordan npm-pakker utløser ormen

Angrepet begynner når etterinstallasjon kjører node bundle.js. På dette tidspunktet initialiserer og pakker skriptet ut arbeidstilstanden i minnet, noe som legger grunnlaget for ormens fulle drift.

Oppdagelse og høsting

• Nyttelasten dumper process.env og skanner lokale filer for hemmeligheter med høy entropi og tokenprefikser. I tillegg utvider den dekningen ved å kjøre TruffleHog.
• Den spør etter skymetadata-endepunkter for å samle inn kortvarige legitimasjonsdetaljer. Eksempelvis samtaler til 169.254.169.254 på AWS eller metadata.google.internal på GCP forekommer ofte hos infiserte verter.
• Følgelig All påloggingsinformasjon som finnes blir umiddelbart brukbar for å publisere nye npm-pakker eller sende ut GitHub-arbeidsflyter.

exfiltration

• Ormen oppretter et nytt GitHub-repo med navnet Shai Hulud og skriver en dobbel base64-kodet data.json med plattformdetaljer, miljødumper og hemmeligheter. Som man kan se, er denne støyende oppførselen lett å oppdage hvis forsvarerne vet hvor de skal lete.
• Den planter også en GitHub Actions-arbeidsflyt, ofte på en gren med navnet Shai-hulud, som serialiserer ${{ toJSON(secrets) }} og legger ut dataene til en statisk webhook. Videre vedvarer denne arbeidsflyten inntil noen aktivt fjerner den.

Forplantning

• Med et oppdaget npm-token lister nyttelasten opp alle pakker som eies av den kompromitterte vedlikeholderen. Deretter henter den hver tarball, injiserer bundle.js og en postinstall-oppføring, og publiserer pakken på nytt.
• Som et resultat kan dusinvis av infiserte pakker dukke opp i løpet av få timer, noe som multipliserer eksplosjonsradiusen over hele økosystemet.

Persistens og eksponering

• Ormen holder ondsinnede arbeidsflyter i live, og i flere tilfeller gjør den private arkivene offentlige med en «-migrasjon» suffiks. Alt i alt sikrer dette at angriperen opprettholder et fotfeste og maksimerer datalekkasje.

Merknad om nøkkeldeteksjon
Denne uvanlige bruken av ${{ toJSON(secrets) }} i Handlinger er arbeidsflyter sjeldne. Derfor, Lag bør behandle det som en indikator på høyt signal under jakter.

Rensifisert arbeidsflytmønster du bør se etter

Denne uvanlige bruken av til JSON (hemmeligheter) i Handlinger er en høyt signalindikator i denne hendelsen.

Pseudokode for forplantning på høyt nivå (sikker, beskrivende)