Shai-Hulud: Wyjaśnienie robaka pakietów npm

Wpływ ataku na łańcuch dostaw Shai-Hulud na kadrę kierowniczą

Shai-Hulud jest nadal aktywny. Ten robak przyspiesza czas ataku. To, co kiedyś zajmowało tygodnie w przypadku trojana, teraz dzieje się w ciągu kilku godzin. W rezultacie, rozprzestrzenianie się jest szybsze i trudniejsze do powstrzymania. Postępuje poprzez:

• Kradzież tokenów npm publish i sekretów GitHub.
• Ponowne publikowanie w innych pakietach npm.
• Dodawanie złośliwych przepływów pracy GitHub Actions w celu zapewnienia trwałości.

Kogo dotyczy:

Każdy zespół instalujący publiczne pakiety npm jest narażony na atak. Co więcej, programiści z buforowanymi tokenami npm lub GitHub są narażeni na wysokie ryzyko. Narażeni są również programiści CI, którzy używają sekretów o szerokim zakresie.

Ryzyko biznesowe

Wpływ na biznes rośnie w szybkim tempie. Skradzione tokeny mogą prowadzić do przejęcia konta, przejęcia pakietów, a nawet nadużyć w chmurze. Ponadto, uporczywość w przepływach pracy w GitHubie utrudnia ich czyszczenie. DlategoZespoły muszą traktować Shai-Hulud jako incydent trwający, a nie zamknięty.

Jak działa atak na łańcuch dostaw Shai-Hulud w pakietach npm

Cele i motyw atakującego

Kampania jest optymalizowana pod kątem trzech rzeczy:

• Pierwszym celem jest kradzież danych uwierzytelniających na dużą skalę z laptopów programistów i narzędzi CI. Obejmuje to tokeny publikacji npm, tokeny GitHub i dane uwierzytelniające w chmurze. W rzeczywistości liczne analizy potwierdzają systematyczne gromadzenie sekretów, takie jak uruchamianie TruffleHog i wyszukiwanie w punktach końcowych metadanych w chmurze.
• Drugim celem jest rozprzestrzeniać się automatycznie poprzez nadużywanie praw wydawniczych zainfekowanych administratorów. W rezultacie jeden punkt zaczepienia szybko rozszerza się na wiele innych, ponieważ nowe zainfekowane wersje innych pakietów pojawiają się bez dodatkowego wysiłku ludzkiego.
• Trzecim celem jest przetrwać i niezawodnie się wydostać poprzez infrastrukturę GitHub. Atakujący tworzą publiczne repozytorium o nazwie „Shai-Hulud” z podwójnym base64 dane.jsoni dodatkowo wdrażają przepływ pracy, który serializuje ${{ toJSON(sekrety) }} i przesyła go do statycznego webhooka.

Prawdopodobne korzyści obejmują długotrwały dostęp do rejestrów i kodu źródłowego, szybkie przenoszenie danych na konta w chmurze oraz możliwość dalszego uzbrojenia łańcucha dostaw. Publiczne raporty pokazują, że prywatne repozytoria stały się publiczne, a "-emigracja" sufiks, który zwiększa ekspozycję danych i dynamikę

Wewnątrz ładunku Shai-Hulud: pakiet.js w pakietach npm

Shai-Hulud jest statkiem duży, dołączony do Webpacka i mocno zminimalizowany Plik JavaScript (pakiet.js, około 3–3.7 MB) który wykonuje z po instalacji zaczepić pakiet.json. W związku z tym, Każda instalacja automatycznie uruchamia ładunek. Ten projekt ukrywa identyfikatory, kompresuje przepływ sterowania i umieszcza całą logikę w jednym artefakcie, który jest wykonywany podczas instalacji. Analitycy konsekwentnie potwierdzają pakowanie Webpacka, nietypowy rozmiar pliku i wykonywanie w czasie instalacji.

Cechy zaciemniania i antyanalizy, które zobaczysz w próbkach:

• Zminimalizowany graf modułów z numerycznymi identyfikatorami modułów, skąpymi komentarzami i spłaszczonym przepływem sterowania. Co więcej, taka struktura sprawia, że ​​ręczny przegląd jest niezwykle trudny.
• Ukrywanie ciągu poprzez warstwy base64 i pomocników konstrukcyjnych. Na przykład, Powtarzające się kodowanie i dekodowanie base64 zwykle pojawia się w trakcie procedur eksfiltracji.
• Dynamiczna wysyłka przez evalwzorce w stylu i generowane ciała funkcji, co pozwala na zmianę zachowania kodu w czasie wykonywania.
• Filtrowanie systemu operacyjnego preferować uruchamianie systemów Linux i macOS, szczególnie na komputerach CI i laptopach programistów.

Z funkcjonalnego punktu widzenia pakiet jest modułowy. W artykułach opisano moduły do ​​wykrywania systemu operacyjnego, skanowania systemu plików i sekretów Git, dostępu do pakietu SDK w chmurze, operacji API GitHub oraz mechanizmu propagacji, który edytuje inne pakiety należące do administratora. Co więcej, zarówno StepSecurity, jak i ReversingLabs podkreślają funkcję, która automatycznie aktualizuje pakiety ze złośliwym hakiem.

Wykonywanie w czasie instalacji w Shai-Hulud: w jaki sposób pakiety npm wyzwalają robaka

Atak zaczyna się, gdy po instalacji uruchamia węzeł pakiet.js. W tym momencie skrypt inicjuje się i rozpakowuje stan roboczy w pamięci, przygotowując grunt pod pełne działanie robaka.

Odkrywanie i zbieranie

• Ładunek zrzuca plik process.env i skanuje pliki lokalne w poszukiwaniu sekretów o wysokiej entropii oraz prefiksów tokenów. Dodatkowo rozszerza zasięg, uruchamiając TruffleHog.
• Wysyła zapytania do punktów końcowych metadanych w chmurze w celu zebrania krótkotrwałych danych uwierzytelniających. Na przykład, dzwoni do 169.254.169.254 na AWS lub metadata.google.internal na GCP często pojawiają się u zakażonych gospodarzy.
• W związku z tym, wszelkie znalezione dane uwierzytelniające stają się natychmiast gotowe do publikowania nowych pakietów npm lub przesyłania przepływów pracy GitHub.

Exfiltracja

• Robak tworzy nowe repozytorium GitHub o nazwie Shai Hulud i zapisuje kodowanie w systemie podwójnym base64 data.json ze szczegółami platformy, zrzutami środowiska i sekretami. Jak widać, to hałaśliwe zachowanie jest łatwe do wykrycia, jeśli obrońcy wiedzą, gdzie szukać.
• Umieszcza również przepływ pracy GitHub Actions, często na gałęzi o nazwie szaj-hulud, który serializuje ${{ toJSON(secrets) }} i przesyła dane do statycznego webhooka. Co więcej, ten przepływ pracy będzie trwał, dopóki ktoś go aktywnie nie usunie.

Propagacja

• Po odkryciu każdego tokena npm, ładunek enumeruje wszystkie pakiety należące do zainfekowanego administratora. Następnie pobiera każdy plik tarball, wstrzykuje plik bundle.js i wpis postinstall, a następnie ponownie publikuje pakiet.
• W rezultacie w ciągu kilku godzin mogą pojawić się dziesiątki zainfekowanych pakietów, co znacznie zwiększa promień rażenia w całym ekosystemie.

Wytrwałość i ekspozycja

• Robak utrzymuje przy życiu złośliwe przepływy pracy i w kilku przypadkach zmienia prywatne repozytoria na publiczne za pomocą "-emigracja" Sufiks. W sumie zapewnia to atakującemu utrzymanie pozycji i maksymalizuje wyciek danych.

Notatka o wykryciu klucza
To nietypowe zastosowanie ${{ toJSON(secrets) }} w przepływach pracy Akcji jest rzadkością. Dlatego Zespoły powinny traktować to jako sygnał o wysokim poziomie podczas polowań.

Zdezynfekowany wzorzec przepływu pracy, którego powinieneś szukać

To nietypowe zastosowanie do JSON(sekrety) w Działaniach jest to wskaźnik wysokiego sygnału w tym incydencie.

Pseudokod propagacji wysokiego poziomu (bezpieczny, opisowy)