Shai-Hulud: Fa'amatalaga o le npm Packages Worm

Aafiaga Fa'atonu o le Osofa'iga a le Shai-Hulud Supply Chain

O loʻo galue pea Shai-Hulud i le asō. O lenei anufe e faʻavavevaveina ai le taimi o le aʻafiaga. O mea na alu ai ni vaiaso i se trojan ua faʻaalia nei i ni nai itula. O le iʻuga, e vave tele le sosolo ma faigata ona taofia. E alualu i luma e ala i le:

• Gaoi o fa'ailoga lolomi npm ma mea lilo a le GitHub.
• Toe lolomiina o ia lava i totonu o isi afifi npm.
• Fa'aopoopoina o galuega leaga a le GitHub Actions mo le fa'aauauina.

O ai ua aʻafia:

So'o se 'au e fa'apipi'i afifi npm lautele e fa'aalia. E le gata i lea, o tagata atia'e e iai ni npm ua teuina po'o ni GitHub ua lamatia tele. O CI runners e fa'aogaina mea lilo lautele e vaivai fo'i.

Aafiaga tau pisinisi

E vave ona faʻatupulaʻia le aʻafiaga o pisinisi. O tokens gaoia e mafai ona oʻo atu ai i le faoa faamalosi o teugatupe, faoa faamalosi o afifi, ma e oʻo lava i le faʻaaogaina sese o le ao. E le gata i lea, o le tumau pea i galuega faatino a le GitHub e faigata ai ona faʻamamāina. O le mea lea, o le mea lea, o le gaoia o tokens e mafai ona oʻo atu ai i le faʻaaogaina sese o le ao., e tatau i 'au ona taulima le Shai-Hulud o se fa'alavelave o lo'o fa'aauau pea, ae le o se fa'alavelave ua tapunia.

Le auala e galue ai le Shai-Hulud Supply Chain Attack i totonu o npm Packages

Sini ma le uunaʻiga a le tagata osofaʻi

E fa'aleleia e le tauvaga mo mea e tolu:

• O le faamoemoega muamua o le gaoia tusipasi i le tele o tulaga mai komepiuta feaveaʻi a le au atinaʻe ma CI runners. E aofia ai faʻailoga lolomi npm, faʻailoga GitHub, ma faʻamaoniga ao. O le mea moni, o le tele o suʻesuʻega e faʻamaonia ai le seleselega faʻalilolilo faʻapitoa, e pei o le faʻatinoina o le TruffleHog ma le fesiligia o faʻaiʻuga o metadata ao.
• O le sini lona lua o le fa'asalalau otometi lava e ala i le fa'aaogaina sese o aia tatau fa'asalalau a i latou e tausia mea ua fa'aleagaina. O se taunuuga, e vave ona fa'alauteleina le tasi tulaga i le tele, talu ai o fa'aliliuga fou ua a'afia o isi afifi e aliali mai e aunoa ma se taumafaiga fa'aopoopo a tagata.
• O le sini lona tolu o le tumau ma fa'amamā ma le fa'atuatuaina e ala i le fausaga o le GitHub. E fatuina e le au osofa'i se repo lautele e igoa ia "Shai-Hulud" faatasi ai ma se base64 faalua data.json, ma e le gata i lea latou te totoina se faiga o galuega e faʻasolosolo ai ${{ toJSON(mea lilo) }} ma lafoina i se webhook tumau.

O le taui e ono maua e aofia ai le avanoa umi i resitala ma le code punaoa, le vave o le agai i tua i tala o ao, ma le filifiliga e faʻaaogaina atili ai le sapalai. O lipoti a le lautele e faʻaalia ai o repo tumaoti ua liua i le lautele ma se "-femalagaa'iga" fa'aopoopoga, lea e fa'ateleina ai le fa'aalia o fa'amaumauga ma le saoasaoa

I totonu o le Shai-Hulud Payload: bundle.js i totonu o afifi npm

O va'a a Shai-Hulud e pei o se tele, ua fa'apipi'iina i le Webpack ma ua matua fa'aitiitia faila JavaScript (bundle.js, pe tusa o le 3–3.7 MB) lea e fa'atinoina mai se pe a uma ona fa'apipi'i fa'apipi'i afifi.jsonO le mea lea, O fa'apipi'iga ta'itasi e fa'agaoioia otometi lava le uta. O lenei mamanu e natia ai fa'ailoga, fa'apu'upu'u le tafe o le pulea, ma tuleia uma manatu i totonu o se mea e tasi e fa'atinoina i le taimi o le fa'apipi'iina. E fa'amaonia pea e le au su'esu'e le fa'apipi'iina o le Webpack, le tele o faila e le masani ai, ma le fa'atinoina i le taimi e fa'apipi'i ai.

O uiga o le fa'alilolilo ma le tete'e i su'esu'ega o le a e va'aia i fa'ata'ita'iga:

• Kalafi fa'aitiitiga o le module fa'atasi ai ma ID numera o le module, fa'amatalaga pupuu, ma le tafe fa'atonutonu fa'alelei. E le gata i lea, O lenei fausaga e matuā faigata ai le iloiloga lima.
• Natia le manoa e ala i le base64 layers ma fesoasoani faufale. Mo se faʻataʻitaʻiga, O le fa'asologa soo o le fa'ailogaina ma le fa'aliliuina o le base64 e masani ona aliali mai i taimi o faiga fa'asolosolo o le exfiltration.
• Fa'asalalauga fa'aolaola e ala i leaga-fa'ata'ita'iga o mamanu ma fa'atupuina tino o galuega, o lea e mafai ai e le code ona suia amioga i le taimi e fa'atino ai.
• Fa'amamāina o le OS e sili atu le faʻatinoina o le Linux ma le macOS aemaise lava i luga o CI runners ma komepiuta feaveaʻi a le au atinaʻe.

Mai se vaaiga fa'atino, e faigofie le fa'apipi'i. O tusitusiga e faʻamatalaina ai vaega mo le mauaina o le OS, faila o faila ma suʻesuʻega faalilolilo a le git, avanoa i le cloud SDK, faʻagaioiga o le GitHub API, ma se afi faʻasalalau e faʻasaʻo ai isi afifi e anaina e le tagata e tausia. O le mea moni, o le StepSecurity ma le ReversingLabs e faʻamamafaina uma ai se galuega e faʻafouina otometi ai afifi i le matau leaga.

Fa'atinoina o le Taimi Fa'apipi'i i le Shai-Hulud: E fa'apefea ona fa'aosofia e afifi npm le anufe

E amata le osofaʻiga pe a e fa'agaoioia le node pe a uma ona fa'apipi'i bundle.js. I le taimi lea, e amataina ma tatala e le tusitusiga le tulaga galue i le manatua, ma faʻatulaga ai le tulaga mo le faʻagaioiga atoa o le anufe.

Mauaina ma le seleseleina

• O le payload dumps e fa'agasolo le .env ma su'esu'eina faila i le lotoifale mo mea lilo e maualuga le entropy ma fa'ailoga muamua. E le gata i lea, e fa'alauteleina le ufiufi e ala i le fa'agaoioia o le TruffleHog.
• E fesiligia ai fa'ai'uga o fa'amatalaga o le ao (cloud metadata e aoina ai fa'amaoniga pu'upu'u. O lesi foi mea, vala'au i 169.254.169.254 i luga o le AWS po'o metadata.google.internal e masani ona aliali mai i luga o le GCP i tagata e maua i le ma'i pipisi.
• O lea la, soʻo se faʻamaoniga e maua e mafai ona faʻaaogaina vave e lolomi ai ni afifi npm fou pe faʻalauiloa foʻi galuega faatino a le GitHub.

Exfiltration

• E fatuina e le anufe se repo fou a le GitHub e igoa ia Shai Hulud ma tusia se fa'ailoga fa'aluaina o le base64 data.json fa'atasi ai ma fa'amatalaga o le tulaga, mea e lafoa'i ai le siosiomaga, ma mea lilo. E pei ona mafai ona va'aia, o lenei amioga pisapisao e faigofie ona iloa pe afai e iloa e le au puipuia le mea e va'ai i ai.
• E totoina fo'i se faiga o galuega a le GitHub Actions, e masani lava i luga o se lala e igoa ia shai-hulud, e fa'asolosolo fa'asolosolo ${{ toJSON(secrets) }} ma lafoina faʻamaumauga i se webhook tumau. E le gata i lea, e faʻaauau pea lenei faiga o galuega seʻia vagana ua aveese e se tasi.

Faʻasalalauga

• Faatasi ai ma soʻo se npm token ua maua, o le payload e lisiina uma afifi e umia e le maintainer ua faaleagaina. Ona, aumai lea o tarball taitasi, faʻaofi le bundle.js ma se postinstall entry, ma toe lolomiina le afifi.
• O se taunuuga, e mafai ona aliali mai le tele o afifi ua aʻafia i ni nai itula, ma faʻateleina ai le lautele o le pa i le siʻosiʻomaga atoa.

Fa'aauau pea ma le fa'aalia

• E fa'aolaola pea e le anufe ia faiga leaga ma, i le tele o tulaga, e liua ai ni nofoaga tumaoti i tagata lautele i se "-femalagaa'iga" fa'aopoopoga. I le aotelega, o lenei mea e fa'amautinoa ai e tumau pea le malosi o le tagata osofa'i ma fa'ateleina ai le fa'asalalauina o fa'amatalaga.

Fa'amatalaga e iloa ai ki
O lenei faʻaaogaina e le masani ai ${{ toJSON(secrets) }} E seasea lava ona iai ni faiga o galuega i Gaoioiga. O le mea lea, e tatau i 'au ona va'ai i ai o se fa'ailoga maualuga i le taimi o tuliga.

O se mamanu o le faiga o galuega ua mae'a ona fa'amamaina e tatau ona e sailia

O lenei faʻaaogaina e le masani ai i JSON(mea lilo) in Actions o se fa'ailoga maualuga lea i lenei fa'alavelave.

Fa'ailoga sese o le fa'asalalauina o le tulaga maualuga (saogalemu, fa'amatalaina)