Шай-Хулуд: объяснение червя npm-пакетов

Влияние атаки на цепочку поставок Шаи-Хулуда на руководство

Shai-Hulud активен и по сей день. Этот червь ускоряет сроки воздействия. То, что раньше занимало недели при использовании трояна, теперь разворачивается за часы. В результате распространение происходит быстрее и его сложнее сдержать. Он продвигается за счет:

• Кража токенов публикации npm и секретов GitHub.
• Перепубликация в других пакетах npm.
• Добавление вредоносных рабочих процессов GitHub Actions для обеспечения устойчивости.

Кто затронут:

Любая команда, устанавливающая публичные пакеты npm, подвергается риску. Более того, разработчики с кэшированными токенами npm или GitHub подвергаются высокому риску. Непрерывные исполнители, использующие секреты с широкой областью действия, также уязвимы.

Деловой риск

Влияние на бизнес быстро растёт. Украденные токены могут привести к захвату учётных записей, перехвату пакетов и даже нецелевому использованию облака. Кроме того, постоянное присутствие в рабочих процессах GitHub затрудняет очистку. Поэтомукоманды должны относиться к Шаи-Хулуду как к продолжающемуся инциденту, а не закрытому.

Как работает атака на цепочку поставок Шаи-Хулуд в пакетах npm

Цели и мотивы нападающего

Кампания оптимизируется по трем параметрам:

• Первая цель - кража учетных данных в больших масштабах с ноутбуков разработчиков и CI-серверов. Сюда входят токены публикации npm, токены GitHub и учётные данные в облаке. Фактически, многочисленные анализы подтверждают систематический сбор секретных данных, например, запуск TruffleHog и запросы к конечным точкам метаданных облака.
• Вторая цель — распространяются автоматически злоупотребляя правами на публикацию скомпрометированных разработчиков. В результате один плацдарм быстро разрастается во множество, поскольку новые зараженные версии других пакетов появляются без дополнительных человеческих усилий.
• Третья цель — надежно сохраняться и эксфильтроваться через инфраструктуру GitHub. Злоумышленники создают публичный репозиторий под названием «Shai-Hulud» с двойной кодировкой base64. данные.json, и кроме того, они внедряют рабочий процесс, который сериализует ${{ toJSON(секреты) }} и отправляет его в статический вебхук.

Вероятный выигрыш включает в себя долгосрочный доступ к реестрам и исходному коду, быстрое горизонтальное перемещение в облачные аккаунты и возможность дальнейшего использования цепочки поставок в качестве оружия. Публичные отчёты показывают, что частные репозитории были преобразованы в публичные с «-миграция» суффикс, который увеличивает доступность данных и импульс

Внутри полезной нагрузки Шаи-Хулуда: пакет.js в пакетах npm

Шаи-Хулуд поставляется как большой, упакованный в Webpack и сильно минифицированный Файл JavaScript (пакет.js, около 3–3.7 МБ) который выполняется из послеустановка крючок в пакет.json. Следовательно, Каждая установка автоматически запускает полезную нагрузку. Такая конструкция скрывает идентификаторы, сжимает поток управления и объединяет всю логику в единый артефакт, который выполняется во время установки. Аналитики постоянно подтверждают наличие пакета Webpack, необычный размер файла и выполнение во время установки.

Черты запутывания и антианализа, которые вы увидите в образцах:

• Минимизированный модульный граф с числовыми идентификаторами модулей, редкими комментариями и упрощённым потоком управления. Более того,, такая структура делает ручную проверку крайне сложной.
• Скрытие строк через слои base64 и вспомогательные инструменты построения. Например,, Повторное кодирование и декодирование base64 обычно происходит во время процедур эксфильтрации.
• Динамическая отправка через Evalшаблоны стилей и генерируемые тела функций, что позволяет коду изменять поведение во время выполнения.
• Фильтрация ОС предпочесть выполнение Linux и macOS, особенно на CI-платформах и ноутбуках разработчиков.

С функциональной точки зрения комплект является модульным. В записях описываются модули для обнаружения ОС, сканирования файловой системы и секретов Git, доступа к облачному SDK, операций с API GitHub и механизма распространения, который редактирует другие пакеты, принадлежащие разработчику. Более того, StepSecurity и ReversingLabs выделяют функцию, которая автоматически обновляет пакеты с вредоносным хуком.

Выполнение во время установки в Шаи-Хулуде: как пакеты npm запускают червя

Атака начинается, когда postinstall запускает узел пакет.js. На этом этапе скрипт инициализируется и распаковывает рабочее состояние в память, подготавливая почву для полноценной работы червя.

Открытие и сбор урожая

• Полезная нагрузка создаёт дамп process.env и сканирует локальные файлы на наличие высокоэнтропийных секретов и префиксов токенов. Кроме того, она расширяет охват, запуская TruffleHog.
• Он запрашивает конечные точки облачных метаданных для сбора краткосрочных учетных данных. Например, звонки в 169.254.169.254 на AWS или metadata.google.internal на GCP часто появляются у инфицированных хозяев.
• Следовательно, любые найденные учетные данные сразу же становятся пригодными для публикации новых пакетов npm или отправки рабочих процессов GitHub.

эксфильтрации

• Червь создает новый репозиторий GitHub под названием Шай-Хулуд и записывает двойной код в формате base64 data.json с информацией о платформе, дампами окружения и секретами. Как видите, это шумное поведение легко заметить, если защитники знают, куда смотреть.
• Он также запускает рабочий процесс GitHub Actions, часто на ветке с именем шай-хулуд, который сериализует ${{ toJSON(secrets) }} и отправляет данные в статический вебхук. Более того, этот рабочий процесс сохраняется до тех пор, пока кто-то его активно не удалит.

Распространение

• При наличии любого обнаруженного токена npm полезная нагрузка перечисляет все пакеты, принадлежащие скомпрометированному сопровождающему. Затем она извлекает каждый tar-архив, внедряет bundle.js и запись postinstall, а затем повторно публикует пакет.
• В результате за считанные часы могут появиться десятки зараженных пакетов, многократно увеличивая радиус поражения в экосистеме.

Настойчивость и воздействие

• Червь поддерживает вредоносные рабочие процессы активными и в некоторых случаях превращает частные репозитории в публичные с помощью «-миграция» суффикс. В совокупности это обеспечивает злоумышленнику сохранение позиции и максимизирует утечку данных.

Примечание по обнаружению ключа
Это необычное использование ${{ toJSON(secrets) }} в рабочих процессах Actions встречается редко. Следовательно, Команды должны воспринимать это как сигнал высокого уровня во время охоты.

Упрощенная модель рабочего процесса, за которой стоит следить

Это необычное использование в JSON(секреты) в Действиях - это высокосигнальный индикатор в данном инциденте.

Псевдокод распространения высокого уровня (безопасный, описательный)