TL; AMA
O se faaputuga o afifi npm e lima, lolomiina i luga o le lua o teugatupe, lafoina se postinstall o le matau e faitauina fa'amaoniga o le ao mai le 'au talimalo ma lafo ese mai le pusa. O lo'o iai i afifi igoa o agaga ma faomea — coral-wraith, ecto-corsair-whisper-6f3b9, ecto-corsair-flag-x9m4, ecto-rust-read-f3a9c1, ecto-nightly-spirit — ma fa'asolosolo so'o se mea latou te aoina e fai ma mea pepelo ecto_module: Fa'aaliga a le YAML a'o le'i fa'asalalauina. Matou te siakiina le cluster e pei ona ectoplasm.
E na'o le taimi lava e fa'agaoioia ai le uta pe a iloa ai se siosiomaga fa'apitoa: o se 'au'aunaga e igoa ia O le laina hex e 12-mataitusi ma se fa'asinomaga faigaluega i lalo o /app/node_modules — le foliga o se tagata faigaluega fausia i totonu o se koneteina poʻo se tagata faigaluega CI. A pasia lena faitotoʻa, e fesiligia e le matau le Auaunaga fa'amaumauga o fa'ata'ita'iga a le AWS (IMDSv2) mo fa'amaoniga o matafaioi a le IAM, fa'amatala mai Pule o mealilo a le AWS i itulagi e tolu, fa'a'ese'ese fesuia'iga o le siosiomaga, faitau faila i lalo /app, ma su'esu'e ni manoa e pu'e ai le fu'a. Ona fa'asolo lea o le i'uga i ni auala se lua: o se sulu i se webhook.site collector ma se manifest PUT i se raw-IP endpoint, faatasi ai ma se lisi o localhost-first fallbacks.
O faʻamatalaga mulimuli ane o le afifi e faitauina "CTF payload for verdaccio supply-chain testing." Matou te lipotia atu lena faʻamatalaga o se mea moni e matauina. O le amioga lava ia - alu ese tuusaʻo i se IP lautele, faitauga moni o faʻamaoniga IMDS, valaʻau moni a le Secrets Manager - o le mea tonu lava lea e tusa lava po o le a le faʻailoga, ma o le mafuaʻaga lea na faʻavasegaina ai nei faʻaliliuga e leaga.
Tasi le igoa i le vaega, coral-wraith, e leʻi taofia i se faʻasalalauga e tasi. Na toe lolomiina vave i le tele o lomiga i ni nai itula — 1.0.0 a'e i 6.0.0 — ma o se fa'asologa muamua o le igoa lava e tasi na fa'aaogaina ai le inflated 9999.0.x numera o lomiga, o le foliga masani o le taumafaiga e fenumiai ai le faalagolago. I le isi itu, e fa'aliliuina ai le uta ua matua manino lava: mai se fa'ailoga e tasi le taimi e fa'amauina ai le 'au talimalo i se pivot atoa o fa'amaoniga a le AWS ua afifiina i siaki o le siosiomaga e fa'afilemu ai i fafo atu o lana sini fa'amoemoeina.
| afifi | 5 igoa; coral-wraith na o ia lava na toe lolomiina i le tele o lomiga |
| Ecosystem | npm |
| Fa'apipi'i le vector | postinstall tusitusiga o le olaga atoa |
| Manulauti autu | Fa'amaoniga o matafaioi a le AWS IAM + Taua lilo a le Pule o Mea Lilo, fesuia'iga o le siosiomaga, /app faila |
| Fa'a'ese | webhook.site fa'ailoga + mata-IP C2 PUT |
| Fa'itoto'a fa'aoso | Igoa talimalo e 12-hex + /app/node_modules cwd, fa'atasi ai ma se siaki o le siosiomaga e taofia ai le uta i fafo atu o lena tulaga |
| Lototele | maualuga — fa'amaoniga o le ao ma le fa'alauiloaina o mea lilo ua pulea mai siosiomaga faufale ma taimi fa'agaoioia ua teuina i totonu o koneteina |
Anatomi o le osofa'iga
O afifi uma i totonu o le cluster e fausia i le auala lava e tasi: o se mea e toetoe lava a gaogao index.js (module.exports = {}), o se laina e tasi afifi.json tusitusiga — “postinstall”: “node postinstall.js” — ma le uta i totonu postinstall.js. O le fa'apipi'iina o le afifi e lava lea e fa'atino ai le hook; e le mana'omia se import po'o se call.
O le faitoto'a fa'atatau. A'o le'i faia se mea, e siaki e le uta o le ecto-family ona si'osi'omaga:
function isAppWorker(): host = os.hostname() if host does NOT match /^[0-9a-f]{12}$/ -> exit if cwd does NOT contain "/app/node_modules" -> exit if cwd contains "/tmp/npm-safe" -> exit otherwise -> proceedO le igoa talimalo 12-hex o le foliga masani lea e tofia e Docker i se koneteina, ma /app/node_modules o se ala fa'apipi'i masani i totonu o le koneteina. O le fuaiupu lona tolu e fa'aleaogaina pe afai e foliga le ala o se fa'asinomaga fa'aputu oneone. O le a'afiaga autu o le tumau pea lea o le uta i luga o se komepiuta feavea'i a le atina'e po'o se pusa oneone su'esu'e ma na'o le fa'agaoioia i totonu o se fale faufale po'o se tagata faigaluega taimi fa'agaoioia - o le ituaiga siosiomaga e sili ona ono tauaveina ai fa'amaoniga ao ola. O le afifi muamua i le kulupu, koral-amu, e leai se faitoto'a faapena ma fa'agaoioia lana aoina (faigofie) e aunoa ma ni tuutuuga.
Aoina. A pasia le faitotoʻa, e oso atu le matau i fafo execFileSync(“/bin/sh”, [“-c”, …]) ma faʻatinoina se poloaiga tuʻufaʻatasi e tasi, i le faasologa:
1. PUT /latest/api/token to 169.254.169.254 (IMDSv2 token request) 2. GET .../iam/security-credentials/ (IAM role name) 3. GET .../iam/security-credentials/<role> (temporary credentials) 4. dump env | sort (environment variables) 5. list /app (excl. node_modules) + cat first 15 (application files) 6. aws secretsmanager list-secrets (us-east-1, eu-west-1, eu-central-1) 7. scrape readable files for HTB{...} (capture-the-flag strings)O Laasaga 1–3 o se tusi a'oga e toe maua mai ai le IMDSv2: talosaga mo se fa'ailoga o le sauniga, ona fa'apipi'i lea e fai ma Fa'ailoga-meta-fa'amaumauga-X-aws-ec2 ulutala e toso ai le matafaioi IAM a le fa'ata'ita'iga ma ki ulufale le tumau a lena matafaioi. O le filifiliga e fa'atino le IMDSv2 nai lo le IMDSv1 faigofie e le'i fa'amaoniaina MAUA e tāua le mātauina — o lona uiga e galue le uta e tusa lava pe i ni fa'ata'ita'iga ua fa'atulagaina e mana'omia ai le avanoa i fa'amaumauga fa'avae i luga o le token, o le fa'ama'a'aina lea e fautuaina e le AWS. O fa'amaoniga na toe fa'afo'i mai e le la'asaga 3 e pu'upu'u le umi AccessKeyId/SecretAccessKey/faailoga fa'atolu e fa'atatau i le matafaioi a le fa'ata'ita'iga; po'o le a lava le mea e mafai ona fai e lena matafaioi, e mafai e le e umia na ki ona fai mo le olaga atoa o le fa'amaoniga.
Laasaga 4–6 e fa'alautele ai le auala e ui ai. auina atu E pu'eina e le dump so'o se mea na mautofi mai i le fa'agasologa o le fausiaina po'o le taimi e fa'agaoioia ai - i le fa'atinoina o le mea lea e masani ona i ai fa'ailoga resitala, laina feso'ota'iga fa'amaumauga, ma ki API. /app e faitau e le savaliga faila le sefululima faila talosaga i fafo node_modules, lea e mafai ona faʻaalia ai le faʻatulagaga, .NS faila, po'o le puna. Laasaga 6 vala'au aws secretsmanager lisi-mea lilo i itulagi e tolu; o fa'amaoniga na tosoina i la'asaga 1–3 o le mea tonu lava lea e fa'amaonia ai na vala'au, o lea e faitau ai le IMDS ma le filifili o le fa'amaumauga a le Secrets Manager fa'atasi i totonu o se fa'aopoopoga e tasi: matafaioi o le instance → fa'amaumauga fa'alilolilo-pulea. O le La'asaga 7 o se fa'ailoga i le fa'avaa o le pu'eina-o-le-fu'a — pe a HTB{…} A maua le fuʻa ona auina atu lea na o ia, a leai o le fasi otaota mata ua aoina ona vaevaeina lea i ni vaega e fa ma auina atu.
O lomiga mulimuli ane i le cluster e faʻaauau pea le faʻateleina. Nai lo le taofi i se lisi o oloa, latou te suʻesuʻeina le tali a le IMDS, faʻatau atu ki le taimi le tumau e pei ona AWS_ACCESS_KEY_ID / AWS_SECRET_ACCESS_KEY / AWS_SESSION_TOKEN fesuia'iga o le siosiomaga, fa'amaonia le fa'asinomaga ma aws sts maua le fa'asinomaga o le tagata vala'au, ona toe ta'i lea i mea lilo uma e toe faafoi mai e lisi-mea lilo valaau aws secretsmanager maua-le-taua-faalilolilo i luga o mea taʻitasi - toe maua mai o mea lilo, ae le na o o latou igoa. O lomiga lava ia e faitau ai foʻi faʻasologa o fuʻa ua suia i le faagasologa (/faitautusi fu'a ma uo) ma taumafai se taufetuli totogi faasaga i soʻo se galuega faatino a le Rust o loʻo maua i lalo o /app, faʻalauteleina le seleselega e sili atu nai lo faʻamaoniga o le ao i soo se mea e faʻaalia mai e le siosiomaga o le fausiaina.
O nei lomiga mulimuli ane e fa'apipi'i atu fo'i i latou lava ma le malosi tele. I le fa'aopoopoga i le 12-hex-hostname ma /app/node_modules siaki, e siaki e le payload le faʻatulagaga o le resitalaina o le afifi ma le ala o le faʻasinomaga-faigaluega ma alu ese filemu pe a latou faʻaalia se auʻiliʻiliga poʻo se faʻataʻitaʻiga o le anotusi nai lo se sini ola. O le aafiaga tuʻufaʻatasi o se payload e leai se mea e vaʻaia i le tele o siosiomaga suʻesuʻega ma faʻatautaia lana aoina atoa pe a faʻamasinoina o ia lava o loʻo i luga o se pusa talimalo moni.
Exfiltration. O faʻamaumauga ua aoina e tuʻua le 'au talimalo i luga o auala e lua. Muamua, o se sulu POST i se tumau upega tafa'ilagi tagata e aoina, o loʻo tauaveina le igoa talimalo, numera UID, faila faigaluega, ma e oʻo atu i le 120 KB o faʻamatalaga na aoina. Lua, o faʻamatalaga e gaugau i totonu o se "module manifest" pepelo a le YAML ma tuʻu i /api/modules/ i luga o se 'au'aunaga fa'amoemoeina:
ecto_module: name: "<flag-or-chunk-0>" version: "1.0.0" power_level: "<chunk-1>" ship_deck: "<chunk-2>" cargo_hold: "<chunk-3>"O igoa o fanua fa'aalia (tulaga_mana, folau, uta) o teuteuga — o faʻamatalaga na gaoia e tietie i totonu o tau o manoa, o le mafuaʻaga lea e vaʻaia ai e le mataʻituina o fesoʻotaʻiga se mea e foliga mai o se uta manifest registry package-registry e le afaina nai lo se faʻasalalauga manino. O le beacon channel e tele atu mea e tauaveina: le POST tino ia upega tafa'ilagi e aofia ai le igoa o le 'hostname', numera UID, faila faigaluega, ma e oʻo atu i le 120 KB o le blob ua aoina, o lea e oʻo lava i se beacon e tasi ua manuia e maua ai le faʻamatalaga atoa. upega tafa'ilagi o se tautua e siaki ai talosaga e leai se totogi; o le faʻaaogaina o se tagata e aoina mai ai o lona uiga e le toe manaʻomia e le kamupani ona tu i luga e maua ai a latou lava atinaʻe mo lena auala, ma o talosaga ua faʻamaumauina e tumau pea i totonu o le pusa o le tautua.
O le faaaliga tuʻu savali i se lisi fa'alagolago e amata i ni nai 127.0.0.1/localhost ports ona pa'ū lea i tuatusi faitele e tolu i le `154.57.164.0/24` o le vaega, e taofi i le uluaʻi faʻaiʻuga e tali mai i le tulaga 2xx. O le faʻatonuga muamua o le localhost e ogatasi ma le faʻamatalaga o le "verdaccio testing" (o se resitala i le lotoifale i luga o le loopback), ae o le faʻafoʻi mai o le public-IP o lona uiga e tuʻua e faʻamaumauga le 'au talimalo i soʻo se taimi e le faʻalogo ai le loopback - o lona uiga, i luga o soʻo se masini e le o le masini suʻega a le tusitala lava ia.
taimi faatulagaina
O loʻo faʻaalia e le vaega le tuputupu aʻe faʻasolosolo o le gafatia nai lo le pa'ū tasi. Matou te faʻatulagaina e ala i amioga na matauina, ae le o le lolomiina o le uati puipui:
O le uiga iloga o le vaega o le lomiga o lona saoasaoa lea o le lolomiina: nai lo le tasi afifi ma le tasi lomiga, o le igoa lava e tasi e toe lolomiina pea lava pea i se faasologa vave, e taitasi ona faʻasalalauina se eseesega laitiiti mai le mulimuli, faatasi ai ma ni nai uso ma tuafafine e eseese igoa o loʻo tauaveina le avega tutusa. musumusu aiga o le code ua vaevaeina i ni tamatamailima se lua e latalata — o le tasi seti e fa'alavelaveina ni fa'amatalaga taua se lua, o le isi tolu (o se isi faila e faitau ai) — ae o lo'o tutusa uma lava le uta; o le eseesega o le code drift, ae le o se behavioral fork. Fa'aliliuga o musumusu i tua atu o le vaega na suʻesuʻeina (e oʻo atu i le 1.0.25 i le taimi na tusia ai) na matauina ola i luga o le resitala, ma le koral-amu sa faaauau pea ona aʻe le igoa i lana lava apefai i luga o le faamalama lava lea e tasi.
Fa'ailoga o le fetu'una'iga
O fa'ailoga uma o lo'o i lalo na aveese mai le puna o le afifi i luga o le tisiketi. Ua le toe fa'aogaina fa'ailoga o feso'ota'iga.
Network
Faila/amioga
Fa'amaumauga o faila (sha256, pu'eina i le taimi o le su'esu'ega)
Fa'asinomaga ma amioga ua matauina
O igoa e lima o afifi na lolomiina i lalo o ni auivi e lua o tala npm, ae e lava le tele o latou atinae e tutusa ai e taulimaina ai o se tasi vaega: e tutusa lava ecto_module fa'atulagaga fa'aalia, tutusa lava ECT-472839 fa'ailoga autū o le tapu, tutusa lava upega tafa'ilagi ID o le aoina, ma pito i tua o le C2 i le mea lava e tasi Poloka 154.57.164.0/24`. O le afifi fatu (`coral-wraith, faigofie ma le le'i fa'apipi'iina) ma o le aiga ecto fa'apipi'iina o lea e faitauina ai o ni fa'ata'ita'iga i luga o le tasi meafaigaluega nai lo ni taumafaiga tuto'atasi.
O loʻo faʻamatalaina e afifi i latou lava, i lomiga mulimuli ane, e pei o "Avega CTF mo le su'ega o le sapalai-fa'asologa o sapalai a Verdaccio." Matou te faʻaalia lena faʻailoga o se mea moni e mafai ona matauina ma e le toe taʻua o se mea na maua e uiga i le faʻamoemoega. O le mea e fai e le code e manino ma tutoatasi mai le auala e faʻailogaina ai: e faitauina faʻamaoniga o matafaioi IAM mai le tautua metadata o le instance, faʻavasegaina mea lilo e pulea i itulagi e tolu o le AWS, ma tuʻuina atu taunuuga i se IP lautele ma se tagata e aoina webhook lona tolu. O se faʻataʻitaʻiga moni lava e naʻo le loopback e le manaʻomia le lisi o le faʻalagolago IP lautele, le faitauina o faʻamaoniga IMDS, poʻo le valaʻau a le Pule o Mea Lilo i itulagi eseese. Talu ai o le egress ma le oʻo atu o faʻamaoniga e moni, o lea na faʻavasegaina ai faʻaliliuga faʻalilolilo.
O le faitoto'a e na'o le koneteina o le uiga sili ona iloga i le fa'agaioiga. O se fua fa'atatau e 'alo'ese ai - o le nofo filemu i luga o komepiuta feavea'i ma totonu o pusa oneone su'esu'e - ma o se fua fa'atatau e fa'atatau i ai, e fa'agaoioia pe a iai se matafaioi moni a le IAM ma mea lilo ola. O le au su'esu'e o lo'o fa'agaoioia nei afifi i totonu o se pusa oneone lautele o le a leai se mea e matauina; o le amioga e na'o le fa'aalia i lalo o se igoa talimalo fa'a-Docker ma se auala fa'apipi'i i totonu o le koneteina.
A'afiaga, aga masani ma ta'iala mo ē puipuia
O le fa'aaliga iinei o fa'amaoniga o le ao ma le fa'alauiloaina faalilolilo i totonu o koneteina o le fausiaina ma le taimi e fa'agaoioia ai. O se fa'amaoniga o le matafaioi IAM e maua mai le IMDS e iai so'o se fa'atagaga e umia e lena matafaioi; pule o mea lilo: LisiMea Lilo (ma so'o se isi fa'amatalaga e mulimuli mai ai Maua le Taua Faalilolilo) fa'alauteleina lena mea i mea lilo o talosaga ua teuina. O fa'amaumauga fesuia'i o le siosiomaga e masani ona i ai fa'ailoga resitala, URL o fa'amaumauga, ma ki API. I totonu o se CI po'o se koneteina - o le mea tonu lava lea e filifilia e le faitoto'a - o se fa'apipi'iga fa'asolosolo e tasi o se tasi o nei afifi e lava lea e fa'asalalau ai lena mea.
E fetaui le Ectoplasm ma se mamanu o loʻo tatou vaʻaia pea: o uta i le taimi e faʻapipiʻi ai e aapa atu i faʻamatalaga o le ao ma mea lilo e pulea nai lo faila i le lotoifale, ma e faʻapipiʻi i latou lava i le fana i siosiomaga taua. E lua matauga puipuia e mulimuli mai.
- E mafai ona iloa le foligaO se matau fa'apipi'i npm/PyPI o lona kalafa vala'au e o'o atu i le API mealilo ao (pule o mea lilo a le aws, mealilo a le gcloud, keyvault az) po'o le tuatusi IMDS ma le network egress sink o se mamanu vaapiapi ma maualuga le fa'ailo — e toetoe lava a le tupu i se tusitusiga fa'atulafonoina o le lifecycle. Su'esu'ega o le tafe tumau e mafai ona fa'ailoga e aunoa ma le fa'alagolago i so'o se vaega fa'apitoa po'o se IP.
- O le fa'ama'a'aina o le si'osi'omaga e fa'avaivaia ai. O le faʻamalosia o le IMDSv2 faʻatasi ai ma se tapulaʻa hop o le 1 e taofia ai le tele o galuega a le koneteina mai le oʻo atu i le metadata o le instance; o le faʻatulagaina o matafaioi a le IAM i le faʻamanuiaga aupito maualalo e faʻatapulaʻaina ai le radius o le blast o soʻo se faʻamaoniga e tafe; ma le faʻatinoina o faʻapipiʻiga ma –Faʻatuatuaga-tusitusiga i le CI e aveese atoa le install-hook vector mo afifi e le manaʻomia.
Mo i latou e puipuia, o siaki faatino o: lapataiga i fesoʻotaʻiga i fafo mai koneteina fausia/CI i IP lautele e leʻi faʻatagaina i le taimi npm tāuta; mata'ituina le avanoa IMDS e afua mai i tusitusiga o le olaga atoa o afifi; ma taulimaina so'o se fa'apipi'iga e fa'aogaina se cloud CLI e masalomia se'ia fa'amaonia se isi mea.
E lua isi faʻamatalaga e faʻapitoa i lenei vaega. Muamua, ona o le faʻagaoioiga ua faʻapipiʻiina i siosiomaga faʻapipiʻi, o se afifi e foliga mai e le aoga pe a siakiina i luga o se nofoaga faigaluega e mafai lava ona ola i le gaosiga - e manaʻomia e le siakiina ona toe gaosia le igoa o le pusa ma tulaga o le ala, pe faitau saʻo le punaoa, nai lo le faʻalagolago i le "Na ou faʻapipiʻiina ma e leai se mea na tupu." Lua, o le faʻaaogaina o se auaunaga suʻesuʻega talosaga lautele e fai ma tagata e aoina le beacon o lona uiga o nisi o faʻamatalaga na faʻaaogaina e ono mafai ona toe maua mo le tali atu i mea na tutupu: o se faʻalapotopotoga e maua se tasi o nei afifi i lana laʻau faʻalagolago e mafai ona mafaufau i mea o loʻo i totonu o se beacon manuia mai le faʻataʻitaʻiga aoina o le uta, ma e tatau ona sui soʻo se faʻamaoniga o matafaioi IAM, faʻailoga resitala, ma mea lilo pulea na mafai ona maua mai le siosiomaga fausia poʻo le taimi faʻagaoioia ua aʻafia. Suiga o fa'amaoniga, e lē o le aveeseina o le afifi, o le toe faaleleia lea pe a uma ona faagaoioia se faapipiiina.
