Shai-Hulud: Vysvetlenie červa npm Packages

Dopad útoku Shai-Hulud na dodávateľský reťazec vo vedení spoločnosti

Shai-Hulud je stále aktívny. Tento červ urýchľuje časový harmonogram dopadu. Čo kedysi trvalo týždne s trójskym koňom, teraz sa odohráva v priebehu hodín. V dôsledku toho, šírenie je rýchlejšie a ťažšie sa dá zastaviť. Postupuje sa prostredníctvom:

• Krádež npm publish tokenov a GitHub secrets.
• Opätovné publikovanie seba samého do iných npm balíkov.
• Pridávanie škodlivých pracovných postupov akcií GitHub pre zachovanie perzistencie.

Koho sa to týka:

Každý tím, ktorý inštaluje verejné npm balíčky, je vystavený riziku. Okrem toho čelia vysokému riziku aj vývojári s uloženými npm alebo GitHub tokenmi. Zraniteľní sú aj behovníci CI, ktorí používajú tajné heslá so širokým rozsahom.

Obchodné riziko

Dopad na podnikanie rýchlo rastie. Ukradnuté tokeny môžu viesť k prevzatiu kontroly nad účtom, únosu balíkov a dokonca aj k zneužitiu cloudu. Okrem toho, perzistencia v pracovných postupoch GitHubu sťažuje ich čistenie. PretoTímy musia brať Shai-Hulud ako prebiehajúci incident, nie ako uzavretý.

Ako funguje útok Shai-Hulud Supply Chain v balíkoch npm

Ciele a motív útočníka

Kampaň je optimalizovaná pre tri veci:

• Prvým cieľom je kradnúť poverenia vo veľkom rozsahu z vývojárskych notebookov a bežcov CI. Patria sem tokeny npm publish, tokeny GitHub a cloudové prihlasovacie údaje. V skutočnosti viaceré analýzy potvrdzujú systematický zber tajných údajov, ako je spúšťanie TruffleHog a dotazovanie koncových bodov cloudových metadát.
• Druhým cieľom je automaticky sa šíri zneužívaním publikačných práv kompromitovaných správcov. V dôsledku toho sa jedna opora rýchlo rozšíri na mnoho, pretože nové infikované verzie iných balíkov sa objavia bez dodatočného ľudského úsilia.
• Tretím cieľom je pretrvávajú a spoľahlivo sa vylučujú prostredníctvom infraštruktúry GitHub. Útočníci vytvoria verejné úložisko s názvom „Shai-Hulud“ s dvojitou základňou64 data.jsona okrem toho zavádzajú pracovný postup, ktorý serializuje ${{ toJSON(tajomstvá) }} a uverejní ho na statickom webhooku.

Pravdepodobným prínosom je dlhodobý prístup k registrom a zdrojovému kódu, rýchly laterálny presun do cloudových účtov a možnosť ďalšieho vyzbrojenia dodávateľského reťazca. Verejné správy ukazujú, že súkromné ​​repozitáre boli prevedené na verejné s... „-migrácia“ prípona, ktorá zvyšuje expozíciu dátam a dynamiku

Vnútri užitočného nákladu Shai-Hulud: bundle.js v balíkoch npm

Shai-Hulud sa dodáva ako veľký, zoskupený s Webpackom a silne minimalizovaný Súbor JavaScriptu (bundle.js, približne 3 – 3.7 MB) ktorý sa vykonáva z po inštalácii zavesiť package.jsonV dôsledku toho, Každá inštalácia automaticky spúšťa užitočné zaťaženie. Tento dizajn skrýva identifikátory, komprimuje tok riadenia a vkladá všetku logiku do jedného artefaktu, ktorý sa vykoná počas inštalácie. Analytici opakovane potvrdzujú zväzovanie Webpackov, nezvyčajnú veľkosť súborov a vykonávanie počas inštalácie.

Zmätok a antianalytické vlastnosti, ktoré uvidíte vo vzorkách:

• Minifikovaný graf modulov s číselnými ID modulov, riedkymi komentármi a splošteným tokom riadenia. Navyše, Táto štruktúra mimoriadne sťažuje manuálnu kontrolu.
• Skrývanie reťazca prostredníctvom vrstiev base64 a konštrukčných pomocníkov. Napríklad, Opakované kódovanie a dekódovanie base64 sa zvyčajne objavuje okolo rutín exfiltrácie.
• Dynamické odoslanie cez eval-štýlové vzory a generované telá funkcií, čo umožňuje kódu meniť správanie počas behu.
• Filtrovanie OS uprednostňovať spustenie v systémoch Linux a macOS, najmä na bežiacich CI a vývojárskych notebookoch.

Z funkčného hľadiska je balík modulárny. Štúdie opisujú moduly na objavovanie operačného systému, skenovanie súborového systému a tajných údajov Git, prístup k cloudovému SDK, operácie s GitHub API a propagačný engine, ktorý upravuje ďalšie balíky, ktoré správca vlastní. V skutočnosti StepSecurity aj ReversingLabs zdôrazňujú funkciu, ktorá automaticky aktualizuje balíky so škodlivým hookom.

Vykonanie počas inštalácie v Shai-Hulud: Ako npm balíky spúšťajú červa

Útok začína, keď poinštalácii sa spustí uzol bundle.js. V tomto bode sa skript inicializuje a rozbalí pracovný stav v pamäti, čím sa pripraví pôda pre plnú prevádzku červa.

Objav a zber

• Úžitková záťaž vypíše súbor process.env a prehľadá lokálne súbory, či neobsahujú tajné kódy s vysokou entropiou a prefixy tokenov. Okrem toho rozširuje pokrytie spustením TruffleHog.
• Dotazuje koncové body cloudových metadát na zhromažďovanie krátkodobých poverení. Napríklad, hovory na 169.254.169.254 na AWS alebo metadata.google.internal na GCP sa často objavujú u infikovaných hostiteľov.
• V dôsledku toho, Akékoľvek nájdené poverenia sa stanú okamžite použiteľnými na publikovanie nových npm balíčkov alebo na spúšťanie pracovných postupov GitHub.

Exfiltrácia

• Červ vytvorí nové úložisko GitHub s názvom Shai Hulud a zapíše súbor s dvojitým kódovaním base64 data.json s podrobnosťami o platforme, výpismi prostredia a tajnými údajmi. Ako je vidieť, toto hlučné správanie sa dá ľahko odhaliť, ak obrancovia vedia, kde hľadať.
• Taktiež vytvára pracovný postup GitHub Actions, často na vetve s názvom šaj-hulud, ktorý serializuje ${{ toJSON(secrets) }} a odošle dáta do statického webhooku. Okrem toho tento pracovný postup pretrváva, kým ho niekto aktívne neodstráni.

Propagácia

• S akýmkoľvek objaveným npm tokenom dátový súbor vymenuje všetky balíčky, ktoré vlastní napadnutý správca. Potom načíta každý tarball, vloží súbor bundle.js a položku po inštalácii a znova publikuje balíček.
• V dôsledku toho sa v priebehu niekoľkých hodín môžu objaviť desiatky infikovaných balíkov, čím sa znásobí polomer šírenia v celom ekosystéme.

Vytrvalosť a expozícia

• Červ udržiava škodlivé pracovné postupy pri živote a v niekoľkých prípadoch premieňa súkromné ​​repozitáre na verejné pomocou... „-migrácia“ prípona. Celkovo to zabezpečuje, že si útočník udrží oporu a maximalizuje únik údajov.

Poznámka k detekcii kľúča
Toto nezvyčajné použitie ${{ toJSON(secrets) }} v pracovných postupoch Akcie je zriedkavé. Preto, Tímy by to mali počas lovu považovať za indikátor vysokého signálu.

Prepracovaný vzor pracovného postupu, ktorý by ste mali hľadať

Toto nezvyčajné použitie na JSON (tajomstvá) v Akciách je v tomto incidente indikátorom vysokého signálu.

Pseudokód na propagáciu na vysokej úrovni (bezpečný, popisný)