Shai-Hulud: Explicația viermelui pachetelor npm

Impactul executiv al atacului asupra lanțului de aprovizionare Shai-Hulud

Shai-Hulud este încă activ și astăzi. Acest vierme accelerează cronologia impactului. Ceea ce odinioară dura săptămâni la un troian se desfășoară acum în câteva ore. Drept urmare, răspândirea este mai rapidă și mai greu de ținut sub control. Avansează prin:

• Furtul de token-uri de publicare NPM și secrete GitHub.
• Se republică în alte pachete npm.
• Adăugarea de fluxuri de lucru GitHub Actions malițioase pentru persistență.

Cine este afectat:

Orice echipă care instalează pachete npm publice este expusă. Mai mult, dezvoltatorii cu token-uri npm sau GitHub în cache se confruntă cu riscuri ridicate. Runner-ii CI care utilizează secrete cu scop larg sunt, de asemenea, vulnerabili.

Riscul de afaceri

Impactul asupra afacerii crește rapid. Token-urile furate pot duce la preluarea conturilor, deturnarea pachetelor și chiar la utilizarea abuzivă a cloud-ului. În plus, persistența în fluxurile de lucru GitHub face mai dificilă curățarea acestora. Prin urmare,, echipele trebuie să trateze Shai-Hulud ca pe un incident în desfășurare, nu ca pe unul închis.

Cum funcționează atacul Shai-Hulud asupra lanțului de aprovizionare în pachetele npm

Obiectivele și motivul atacatorului

Campania se optimizează pentru trei lucruri:

• Primul obiectiv este să fura acreditări la scară largă de la laptopurile dezvoltatorilor și de la rulourile CI. Aceasta include token-uri de publicare npm, token-uri GitHub și acreditări cloud. De fapt, analize multiple confirmă recoltarea sistematică a secretelor, cum ar fi rularea TruffleHog și interogarea punctelor finale de metadate cloud.
• Al doilea obiectiv este de a propaga automat prin abuzul drepturilor de publicare ale administratorilor compromiși. Drept urmare, o bază se extinde rapid în mai multe, deoarece apar noi versiuni infectate ale altor pachete fără efort uman suplimentar.
• Al treilea obiectiv este de a persistă și exfiltrează în mod fiabil prin infrastructura GitHub. Atacatorii creează un depozit public numit „Shai-Hulud” cu o bază dublă64 data.jsonși, în plus, plantează un flux de lucru care serializează ${{ toJSON(secrete) }} și îl postează într-un webhook static.

Probabilul beneficiu include acces pe termen lung la registre și cod sursă, transfer lateral rapid către conturi cloud și opțiunea de a transforma și mai mult lanțul de aprovizionare în armă. Rapoartele publice arată că depozitele private au fost transferate către public cu un... „-migrație” sufix, care crește expunerea și impulsul datelor

În interiorul încărcăturii utile Shai-Hulud: pachet.js în pachetele npm

Navele Shai-Hulud sunt mari, incluse în pachetele Webpack și puternic minimizate Fișier JavaScript (pachet.js, aproximativ 3–3.7 MB) care se execută dintr-un postinstalare agăța pachet.jsonPrin urmare, Fiecare instalare declanșează automat sarcina utilă. Acest design ascunde identificatorii, comprimă fluxul de control și împinge toată logica într-un singur artefact care se execută în timpul instalării. Analiștii confirmă în mod constant gruparea Webpack, dimensiunea neobișnuită a fișierelor și execuția în timpul instalării.

Trăsături de ofuscare și anti-analiză pe care le veți observa în mostre:

• Grafic de modul minimizat cu ID-uri numerice de module, comentarii rare și flux de control aplatizat. Mai mult,, Această structură face extrem de dificilă revizuirea manuală.
• Ascunderea șirurilor de caractere prin straturi base64 și instrumente auxiliare de construcție. De exemplu, Codificarea și decodarea base64 repetate apar de obicei în jurul rutinelor de exfiltrare.
• Dispecerizare dinamică prin eval-modele de stil și corpuri de funcții generate, permițând astfel codului să își schimbe comportamentul în timpul execuției.
• Filtrarea sistemului de operare să prefere execuția Linux și macOS, în special pe rulote CI și laptopuri pentru dezvoltatori.

Din punct de vedere funcțional, pachetul este modular. Descrierea descrie module pentru descoperirea sistemului de operare, scanarea sistemului de fișiere și a secretelor git, accesul la SDK-ul cloud, operațiunile API GitHub și un motor de propagare care editează alte pachete deținute de administrator. De fapt, StepSecurity și ReversingLabs evidențiază ambele o funcție care actualizează automat pachetele cu hook-ul malițios.

Execuția în timpul instalării în Shai-Hulud: Cum declanșează pachetele npm viermele

Atacul începe când nodul de rulare postinstalare pachet.js. În acest moment, scriptul inițializează și despachetează starea de funcționare în memorie, pregătind terenul pentru funcționarea completă a viermelui.

Descoperire și recoltare

• Sarcina utilă generează fișierul process.env și scanează fișierele locale pentru secrete cu entropie ridicată și prefixe de tokenuri. În plus, extinde acoperirea prin rularea TruffleHog.
• Interoghează punctele finale de metadate din cloud pentru a colecta acreditări de scurtă durată. De exemplu, apelează la 169.254.169.254 pe AWS sau metadata.google.internal pe GCP apar adesea la gazdele infectate.
• În consecință, Orice acreditări găsite devin imediat utilizabile pentru a publica noi pachete npm sau a trimite fluxuri de lucru GitHub.

Exfiltrarea

• Viermele creează un nou depozit GitHub numit Shai Hulud și scrie o codificare dublă în base64 data.json cu detalii despre platformă, dump-uri de mediu și secrete. După cum se poate observa, acest comportament zgomotos este ușor de observat dacă apărătorii știu unde să caute.
• De asemenea, plantează un flux de lucru GitHub Actions, adesea pe o ramură numită shai-hulud, care serializează ${{ toJSON(secrets) }} și postează datele către un webhook static. În plus, acest flux de lucru persistă până când cineva îl elimină în mod activ.

Propagare

• Cu orice token npm descoperit, sarcina utilă enumeră toate pachetele deținute de administratorul compromis. Apoi, preia fiecare fișier tar, injectează fișierul bundle.js și o intrare postinstalare și republică pachetul.
• Drept urmare, zeci de pachete infectate pot apărea în câteva ore, multiplicând raza exploziei în întregul ecosistem.

Persistență și expunere

• Viermele menține active fluxurile de lucru rău intenționate și, în mai multe cazuri, transformă depozitele private în depozite publice cu un „-migrație” sufix. Per total, acest lucru asigură că atacatorul își menține un punct de sprijin și maximizează scurgerea de date.

Notă cheie de detectare
Această utilizare neobișnuită a ${{ toJSON(secrets) }} în fluxurile de lucru Acțiuni este rară. Prin urmare, Echipele ar trebui să îl trateze ca pe un indicator de semnal înalt în timpul vânătoarelor.

Model de flux de lucru igienizat pe care ar trebui să-l cauți

Această utilizare neobișnuită a la JSON(secrete) „În Acțiuni” este un indicator de semnal ridicat în acest incident.

Pseudocod de propagare la nivel înalt (sigur, descriptiv)