Shai-Hulud: Razlaga črva npm Packages

Vpliv napada na dobavno verigo Shai-Hulud na vodstvo

Shai-Hulud je še danes aktiven. Ta črv pospeši časovnico vpliva. Kar je nekoč pri trojancu trajalo več tednov, se zdaj odvija v nekaj urah. Posledično, širjenje je hitrejše in težje ga je zadržati. Napreduje z:

• Kraja žetonov za objavo npm in skrivnosti GitHub-a.
• Ponovna objava v drugih npm paketih.
• Dodajanje zlonamernih delovnih tokov dejanj GitHub za vztrajnost.

Kdo je prizadet:

Vsaka ekipa, ki namešča javne npm pakete, je izpostavljena. Poleg tega se razvijalci s predpomnjenimi npm ali GitHub žetoni soočajo z visokim tveganjem. Ranljivi so tudi izvajalci neomejene izbire, ki uporabljajo široko dostopne skrivnosti.

Poslovno tveganje

Vpliv na poslovanje hitro narašča. Ukradeni žetoni lahko vodijo do prevzema računa, ugrabitve paketov in celo zlorabe oblaka. Poleg tega vztrajanje v delovnih procesih GitHub otežuje čiščenje. ZatoEkipe morajo Shai-Hulud obravnavati kot tekoči incident, ne kot zaključenega.

Kako deluje napad na dobavno verigo Shai-Hulud v paketih npm

Cilji in motiv napadalca

Kampanja je optimizirana za tri stvari:

• Prvi cilj je, da kradejo poverilnice v velikem obsegu iz prenosnih računalnikov razvijalcev in izvajalcev CI. To vključuje žetone za objavo npm, žetone GitHub in poverilnice za oblak. Pravzaprav več analiz potrjuje sistematično zbiranje tajnih podatkov, kot je izvajanje TruffleHog in poizvedovanje po končnih točkah metapodatkov v oblaku.
• Drugi cilj je, da samodejno širi z zlorabo pravic objavljanja ogroženih vzdrževalcev. Posledično se eno oporišče hitro razširi v mnoga, saj se nove okužene različice drugih paketov pojavljajo brez dodatnega človeškega truda.
• Tretji cilj je, da vztrajajo in zanesljivo izstopajo prek infrastrukture GitHub. Napadalci ustvarijo javno skladišče z imenom »Shai-Hulud« z dvojno bazo64 data.jsonin poleg tega vzpostavijo delovni tok, ki serializira ${{ toJSON(skrivnosti) }} in ga objavi v statičnem spletnem kavlju.

Verjetna korist vključuje dolgotrajen dostop do registrov in izvorne kode, hiter lateralni premik v račune v oblaku in možnost nadaljnjega orožja v dobavni verigi. Javna poročila kažejo, da so se zasebna skladišča preusmerila v javna z ... "-migracija" pripona, ki poveča izpostavljenost podatkov in zagon

Znotraj koristnega tovora Shai-Hulud: bundle.js v npm paketih

Shai-Hulud ladje kot velik, povezan z Webpackom in močno minimiziran Datoteka JavaScript (bundle.js, približno 3–3.7 MB) ki se izvaja iz po namestitvi priklopiti paket.jsonPosledično, Vsaka namestitev samodejno sproži koristni tovor. Ta zasnova skrije identifikatorje, stisne pretok nadzora in vso logiko potisne v en sam artefakt, ki se izvede med namestitvijo. Analitiki dosledno potrjujejo združevanje Webpackov, nenavadno velikost datotek in izvajanje med namestitvijo.

Lastnosti zamegljevanja in antianalize, ki jih boste opazili v vzorcih:

• Zmanjšan graf modulov z numeričnimi ID-ji modulov, redkimi komentarji in sploščenim tokom krmiljenja. Poleg tega, Zaradi te strukture je ročni pregled izjemno težaven.
• Skrivanje nizov prek slojev base64 in pomočnikov pri gradnji. Na primer, Ponavljajoče se kodiranje in dekodiranje base64 se običajno pojavi okoli rutin za izločanje.
• Dinamično odpošiljanje skozi eval-stilni vzorci in generirana telesa funkcij, kar omogoča kodi spreminjanje vedenja med izvajanjem.
• Filtriranje operacijskih sistemov dati prednost izvajanju v Linuxu in macOS-u, zlasti na napravah z neomejeno vgrajeno tehnologijo in prenosnikih za razvijalce.

Z funkcionalnega vidika je sveženj modularen. V opisih so opisani moduli za odkrivanje operacijskega sistema, skeniranje datotečnega sistema in skrivnih podatkov git, dostop do oblačnega SDK-ja, delovanje GitHub API-ja in mehanizem za razmnoževanje, ki ureja druge pakete, ki so v lasti vzdrževalca. Pravzaprav StepSecurity in ReversingLabs poudarjata funkcijo, ki samodejno posodablja pakete z zlonamerno kodo.

Izvajanje med namestitvijo v Shai-Huludu: Kako npm paketi sprožijo črva

Napad se začne, ko po namestitvi se izvede vozlišče bundle.js. Na tej točki se skript inicializira in razpakira delovno stanje v pomnilniku, kar pripravi oder za polno delovanje črva.

Odkrivanje in žetev

• Delovni tovor izpiše datoteko process.env in pregleda lokalne datoteke za skrivnosti z visoko entropijo in predpone žetonov. Poleg tega razširja pokritost z zagonom TruffleHog.
• Poizveduje po končnih točkah metapodatkov v oblaku za zbiranje kratkotrajnih poverilnic. Na primer, kliče na 169.254.169.254 na AWS oz. metadata.google.internal na GCP se pogosto pojavijo pri okuženih gostiteljih.
• Zato Vsaka najdena poverilnica postane takoj uporabna za objavo novih npm paketov ali za pospeševanje delovnih procesov GitHub.

Eksfiltracija

• Črv ustvari nov repozitorij GitHub z imenom Shai Hulud in zapiše dvojno kodirano base64 data.json s podrobnostmi o platformi, izpiski okolja in skrivnostmi. Kot je razvidno, je to hrupno vedenje enostavno opaziti, če branilci vedo, kam iskati.
• Prav tako vgradi delovni tok dejanj GitHub, pogosto na vejo z imenom šaj-hulud, ki serializira ${{ toJSON(secrets) }} in objavi podatke v statičnem spletnem kavlju. Poleg tega ta potek dela traja, dokler ga nekdo aktivno ne odstrani.

Razmnoževanje

• Z vsakim odkritim žetonom npm koristni tok našteje vse pakete, ki so v lasti ogroženega vzdrževalca. Nato pridobi vsako tarball datoteko, vstavi bundle.js in vnos po namestitvi ter ponovno objavi paket.
• Posledično se lahko v nekaj urah pojavi na desetine okuženih paketov, kar pomnoži polmer eksplozije v ekosistemu.

Vztrajnost in izpostavljenost

• Črv ohranja zlonamerne delovne procese in v več primerih zasebna skladišča pretvori v javna z "-migracija" pripona. Skupaj to zagotavlja, da napadalec ohrani oporo in poveča uhajanje podatkov.

Opomba o zaznavanju ključa
Ta nenavadna uporaba ${{ toJSON(secrets) }} v delovnih tokovih dejanj je redek. Zato Ekipe bi ga morale med lovom obravnavati kot indikator visokega signala.

Saniziran vzorec poteka dela, ki ga morate iskati

Ta nenavadna uporaba do JSON(skrivnosti) v Dejanjih je v tem incidentu pomemben kazalnik.

Psevdokoda za visokonivojsko propagacijo (varna, opisna)