شای-هولود: د npm پیکجونو د چینجي تشریح شوی

د شای-حلود د اکمالاتي زنځیر برید اجرایوي اغیز

شای-هولود نن ورځ هم فعال دی. دا چینجي د اغیز مهال ویش ګړندی کوي. هغه څه چې یو وخت د ټروجن سره اونۍ وخت نیولی و اوس په ساعتونو کې څرګندیږي. په پایله کې، خپرېدل ګړندي او کنټرول یې سخت دي. دا د لاندې په واسطه پرمختګ کوي:

• د npm خپرونې ټوکنونه او د GitHub رازونه غلا کول.
• په نورو npm پیکجونو کې ځان بیا خپروي.
• د دوام لپاره د ناوړه GitHub Actions کاري جریان اضافه کول.

څوک اغیزمن کیږي:

هر هغه ټیم چې د عامه npm کڅوړې نصبوي، افشا کیږي. سربیره پردې، هغه پراختیا کونکي چې کیش شوي npm یا GitHub ټوکنونه لري د لوړ خطر سره مخ دي. د CI چلونکي چې پراخه ساحه لرونکي رازونه کاروي هم زیان منونکي دي.

د سوداګرۍ خطر

د سوداګرۍ اغیزه په چټکۍ سره وده کوي. غلا شوي ټوکنونه کولی شي د حساب نیولو، د بسته بندۍ تښتولو، او حتی د کلاوډ ناوړه ګټه اخیستنې لامل شي. سربیره پردې، د GitHub کاري فلو کې دوام د پاکولو لپاره ستونزمن کوي. له همدې امله، ټیمونه باید شای-هولود د یوې روانې پیښې په توګه وګڼي، نه د یوې تړلې پیښې په توګه.

د شای-هولود د اکمالاتي زنځیر برید څنګه په npm پیکجونو کې کار کوي

د بریدګر اهداف او انګیزه

کمپاین د دریو شیانو لپاره غوره کوي:

• لومړی هدف دا دی چې په پراخه کچه اسناد غلا کول د پراختیا کونکو لیپټاپونو او CI چلونکو څخه. پدې کې د npm خپرونې ټوکنونه، GitHub ټوکنونه، او د کلاوډ اسناد شامل دي. په حقیقت کې، ډیری تحلیلونه د سیستماتیک پټو راټولولو تصدیق کوي، لکه د TruffleHog چلول او د کلاوډ میټاډاټا پای ټکي پوښتل.
• دوهم هدف دا دی چې په اتوماتيک ډول خپرېږي د جوړجاړي شوي ساتونکو د خپرولو حقونو څخه ناوړه ګټه پورته کول. په پایله کې، یو ځای په چټکۍ سره په ډیرو کې پراخیږي، ځکه چې د نورو کڅوړو نوي اخته شوي نسخې پرته له اضافي انساني هڅو څخه څرګندیږي.
• دریم هدف دا دی چې په ډاډمن ډول دوام ورکړئ او خارج کړئ د GitHub زیربنا له لارې. برید کوونکي د "شای-هولود" په نوم یو عامه ریپو جوړوي چې د دوه ګوني اساس سره 64 ډاټا.json، او سربیره پردې دوی یو کاري فلو رامینځته کوي چې سریال کوي ${{ تهJSON(رازونه) }} او په جامد ویب هک کې یې پوسټ کوي.

احتمالي ګټې کې د راجسترونو او سرچینې کوډ ته اوږدمهاله لاسرسی، په کلاوډ حسابونو کې ګړندی اړخ حرکت، او د اکمالاتي سلسلې د لا زیاتولو اختیار شامل دي. عامه راپور ورکول ښیې چې خصوصي زیرمې د عامه سره لیږدول شوي "-مهاجرت" ضمیمه، کوم چې د معلوماتو افشا کول او حرکت زیاتوي

د شای-حلود بار دننه: بنډل.جي ایس په npm پیکجونو کې

شای-هولود د یو په توګه لیږدوي لوی، د ویب پیک سره تړلی او په پراخه کچه کوچنی شوی د جاواسکریپټ فایل (بنډل.جي ایس، شاوخوا ۳–۳.۷ MB) چې له a څخه اجرا کیږي د نصبولو وروسته تړل package.jsonپه پایله کې, هر انسټالشن په اتوماتيک ډول د پیلوډ پیل کوي. دا ډیزاین پیژندونکي پټوي، د کنټرول جریان کموي، او ټول منطق په یوه واحد هنر کې اچوي چې د نصبولو پرمهال اجرا کیږي. شنونکي په دوامداره توګه د ویب پیک بنډلینګ، غیر معمولي فایل اندازه، او د نصبولو وخت اجرا تاییدوي.

هغه مغشوش او د تحلیل ضد ځانګړتیاوې چې تاسو به یې په نمونو کې وګورئ:

• د کوچني ماډل ګراف د عددي ماډل IDs، سپیر تبصرو، او فلیټ شوي کنټرول جریان سره. سربیره پردې, دا جوړښت لاسي بیاکتنه خورا سخته کوي.
• د تار پټول د بیس ۶۴ پرتونو او ساختماني مرسته کونکو له لارې. د مثال په توګه, د بیس ۶۴ تکراري کوډ کول او کوډ کول معمولا د خارجولو معمولونو شاوخوا څرګندیږي.
• متحرک لیږل له لارې د څرګندول- سټایل نمونې او تولید شوي فعالیت ارګانونه، له همدې امله کوډ ته اجازه ورکوي چې د چلولو په وخت کې چلند بدل کړي.
• د OS فلټر کول د لینکس او macOS اجرا کولو ته ترجیح ورکول په ځانګړي توګه د CI چلونکو او پراختیا کونکو لیپټاپونو کې.

د فعال زاویې څخه، بنډل ماډلر دی. رایټ اپونه د OS کشف، د فایل سیسټم او ګیټ پټ سکینونو، کلاوډ SDK لاسرسي، د ګیټ هب API عملیاتو، او د تبلیغ انجن لپاره ماډلونه تشریح کوي چې د ساتونکي ملکیت نور کڅوړې ایډیټ کوي. په حقیقت کې، StepSecurity او ReversingLabs دواړه یو فعالیت روښانه کوي چې په اتوماتيک ډول د ناوړه هک سره کڅوړې تازه کوي.

په شای هولود کې د انسټالټ وخت اجرا کول: څنګه د npm پیکجونه د چینجي لامل کیږي

برید هغه وخت پیل کیږي کله چې د نصب وروسته نوډ چلوي بنډل.جي ایس. په دې مرحله کې، سکریپټ په حافظه کې د کار حالت پیل او خلاصوي، د چینجي بشپړ عملیات لپاره مرحله تنظیموي.

کشف او حاصلات

• د پایلوډ پروسه.env ډمپ کوي او د لوړ انټروپي رازونو او ټوکن مخففونو لپاره محلي فایلونه سکین کوي. سربیره پردې، دا د TruffleHog په چلولو سره پوښښ پراخوي.
• دا د لنډمهاله اسنادو راټولولو لپاره د کلاوډ میټاډاټا پای ټکي پوښتنه کوي. مثلا، ته زنګ وهي 169.254.169.254 په AWS یا metadata.google.internal په GCP کې ډیری وختونه په اخته شوي کوربه کې څرګندیږي.
• په پایله کې، هر هغه سند چې وموندل شي سمدلاسه د نوي npm کڅوړو خپرولو یا د GitHub کاري جریان هڅولو لپاره د کارولو وړ کیږي.

exfiltration

• دا چینجي د GitHub یو نوی ریپو جوړوي چې نوم یې دی شای هولود او دوه ګونی بیس 64-کوډ شوی لیکي data.json د پلیټ فارم توضیحاتو، چاپیریالي ډمپونو، او رازونو سره. لکه څنګه چې لیدل کیدی شي، دا شورماشور چلند په اسانۍ سره لیدل کیدی شي که چیرې مدافعین پوه شي چې چیرته وګوري.
• دا د GitHub Actions کاري فلو هم نصبوي، ډیری وختونه په یوه څانګه کې چې نوم یې دی شای حلود، چې سریال کوي ${{ toJSON(secrets) }} او معلومات په جامد ویب هک کې پوسټ کوي. سربیره پردې، دا کاري جریان تر هغه وخته پورې دوام کوي تر څو چې څوک یې په فعاله توګه لرې نه کړي.

تبلیغات

• د هر کشف شوي npm ټوکن سره، پیلوډ ټول هغه کڅوړې شمیري چې د جوړجاړي شوي ساتونکي ملکیت لري. بیا، دا هر ټاربال راوړي، bundle.js او د نصب وروسته داخله داخلوي، او بسته بیا خپروي.
• په پایله کې، په څو ساعتونو کې لسګونه اخته شوي کڅوړې څرګندیدلی شي، چې په ټول ایکوسیستم کې د چاودنې شعاع ضربوي.

دوام او افشا کول

• دا چینجي ناوړه کاري جریان ژوندی ساتي او په ډیری مواردو کې، شخصي ذخیره عامه ته د a سره بدلوي "-مهاجرت" په ټولیز ډول، دا ډاډ ورکوي چې بریدګر خپل ځای ساتي او د معلوماتو لیکیدل اعظمي کوي.

د کیلي کشف یادښت
دا غیر معمولي کارول د ${{ toJSON(secrets) }} په عملونو کې کاري جریان نادر دی. له همدې امله، ټیمونه باید دا د ښکار پرمهال د لوړ سیګنال شاخص په توګه وګڼي.

د پاک شوي کاري فلو نمونه چې تاسو یې باید لټوئ

دا غیر معمولي کارول د ته JSON(رازونه) په دې پیښه کې په عملونو کې د لوړ سیګنال شاخص دی.

د لوړې کچې تبلیغ جعلي کوډ (خوندي، تشریحي)