Shai-Hulud: Krimbi i Paketave npm i Shpjeguar

Ndikimi ekzekutiv i sulmit në zinxhirin e furnizimit Shai-Hulud

Shai-Hulud është ende aktiv sot. Ky krimb përshpejton afatin kohor të ndikimit. Ajo që dikur zgjaste javë me një trojan, tani zhvillohet brenda orësh. Si rezultat, Përhapja është më e shpejtë dhe më e vështirë për t’u përmbajtur. Ai përparon duke:

• Vjedhja e tokenëve të publikimit npm dhe sekreteve të GitHub.
• Duke u ribotuar në paketa të tjera npm.
• Shtimi i rrjedhave të punës të GitHub Actions me qëllim të keq për qëndrueshmëri.

Kush preket:

Çdo ekip që instalon paketa publike npm është i ekspozuar. Për më tepër, zhvilluesit me tokena npm ose GitHub të ruajtura në memorje përballen me rrezik të lartë. Ekzekutuesit e CI që përdorin sekrete me fushëveprim të gjerë janë gjithashtu të prekshëm.

Risku i biznesit

Ndikimi në biznes rritet me shpejtësi. Tokenët e vjedhur mund të çojnë në marrjen e llogarisë, rrëmbimin e paketave dhe madje edhe keqpërdorimin e cloud-it. Përveç kësaj, vazhdimësia në rrjedhat e punës së GitHub e bën më të vështirë pastrimin e saj. Prandaj, ekipet duhet ta trajtojnë Shai-Hulud si një incident të vazhdueshëm, jo ​​si një incident të mbyllur.

Si funksionon sulmi i zinxhirit të furnizimit Shai-Hulud në paketat npm

Objektivat dhe motivi i sulmuesit

Fushata optimizon për tre gjëra:

• Objektivi i parë është të vjedh kredencialet në shkallë të gjerë nga laptopët e zhvilluesve dhe ekzekutuesit e CI. Kjo përfshin tokenët e publikimit npm, tokenët GitHub dhe kredencialet e cloud. Në fakt, analiza të shumëfishta konfirmojnë mbledhjen sistematike të sekreteve, siç është ekzekutimi i TruffleHog dhe pyetja e pikave fundore të meta të dhënave në cloud.
• Objektivi i dytë është të përhapet automatikisht duke abuzuar me të drejtat e publikimit të mirëmbajtësve të kompromentuar. Si rezultat, një pikëmbështetje zgjerohet shpejt në shumë të tjera, pasi versionet e reja të infektuara të paketave të tjera shfaqen pa përpjekje shtesë njerëzore.
• Objektivi i tretë është të vazhdojnë dhe nxirren në mënyrë të besueshme përmes infrastrukturës GitHub. Sulmuesit krijojnë një depo publike të quajtur "Shai-Hulud" me një bazë të dyfishtë64 të dhëna.json, dhe përveç kësaj ata vendosin një rrjedhë pune që serializon ${{ nëJSON (sekrete) }} dhe e poston atë në një webhook statik.

Shpërblimi i mundshëm përfshin akses afatgjatë në regjistra dhe kod burimor, lëvizje të shpejtë anësore në llogaritë cloud dhe mundësinë për ta armatosur më tej zinxhirin e furnizimit. Raportimi publik tregon se depot private i janë dorëzuar publikut me një “-migrim” prapashtesë, e cila rrit ekspozimin ndaj të dhënave dhe momentumin

Brenda ngarkesës Shai-Hulud: pako.js në Paketat npm

Shai-Hulud anijet si një i madh, i paketuar në Webpack dhe shumë i minimizuar Skedari JavaScript (pako.js, rreth 3–3.7 MB) që ekzekutohet nga një post-instalim lidhu package.jsonSi pasojë, Çdo instalim aktivizon automatikisht ngarkesën. Ky dizajn fsheh identifikuesit, kompreson rrjedhën e kontrollit dhe e shtyn të gjithë logjikën në një objekt të vetëm që ekzekutohet gjatë instalimit. Analistët konfirmojnë vazhdimisht bashkimin e Webpack, madhësinë e pazakontë të skedarëve dhe ekzekutimin në kohën e instalimit.

Tiparet e turbullimit dhe anti-analizës që do të shihni në mostra:

• Grafiku i modulit të minimizuar me ID numerike të moduleve, komente të rralla dhe rrjedhë kontrolli të rrafshuar. Për më tepër, Kjo strukturë e bën rishikimin manual jashtëzakonisht të vështirë.
• Fshehja e vargut nëpërmjet shtresave base64 dhe ndihmësve të ndërtimit. Për shembull, Kodimi dhe dekodimi i përsëritur base64 zakonisht shfaqet rreth rutinave të eksfiltrimit.
• Dërgim dinamik përmes vlerësojmodele -style dhe trupa funksionesh të gjeneruara, duke i mundësuar kështu kodit të ndryshojë sjelljen gjatë kohës së ekzekutimit.
• Filtrimi i sistemit operativ të preferohet ekzekutimi në Linux dhe macOS, veçanërisht në kompjuterët CI dhe laptopët e zhvilluesve.

Nga një këndvështrim funksional, pakoja është modulare. Shkrimet përshkruajnë module për zbulimin e sistemit operativ, skanimet sekrete të sistemit të skedarëve dhe git, aksesin në cloud SDK, operacionet e GitHub API dhe një motor përhapjeje që modifikon paketa të tjera që zotëron mirëmbajtësi. Në fakt, StepSecurity dhe ReversingLabs nxjerrin në pah një funksion që përditëson automatikisht paketat me grepin keqdashës.

Ekzekutimi në Kohën e Instalimit në Shai-Hulud: Si e aktivizojnë krimbin paketat npm

Sulmi fillon kur postinstall ekzekuton nyjen pako.js. Në këtë pikë, skripti inicializohet dhe çpaketon gjendjen e punës në memorie, duke përgatitur terrenin për funksionimin e plotë të krimbit.

Zbulimi dhe korrja

• Ngarkesa dumps process.env dhe skanon skedarët lokalë për sekrete me entropi të lartë dhe prefikse tokenësh. Përveç kësaj, ai zgjeron mbulimin duke ekzekutuar TruffleHog.
• Ai pyet pikat fundore të meta të dhënave në cloud për të mbledhur kredencialet jetëshkurtra. Për shembull, thirrje për 169.254.169.254 në AWS ose metadata.google.internal në GCP shpesh shfaqen te nikoqirët e infektuar.
• Si pasojë, Çdo kredencial i gjetur bëhet menjëherë i përdorshëm për të publikuar paketa të reja npm ose për të nxitur rrjedhat e punës në GitHub.

exfiltration

• Krimbi krijon një depo të re në GitHub me emrin Shai Hulud dhe shkruan një kodim të dyfishtë base64 data.json me detaje të platformës, informacione të mjedisit dhe sekrete. Siç mund të shihet, kjo sjellje e zhurmshme është e lehtë për t'u dalluar nëse mbrojtësit dinë ku të kërkojnë.
• Gjithashtu instalon një rrjedhë pune të GitHub Actions, shpesh në një degë të quajtur shai-hulud, që serializon ${{ toJSON(secrets) }} dhe i poston të dhënat në një webhook statik. Për më tepër, ky rrjedhë pune vazhdon derisa dikush ta heqë atë në mënyrë aktive.

Shumim

• Me çdo token npm të zbuluar, ngarkesa numëron të gjitha paketat në pronësi të mirëmbajtësit të kompromentuar. Pastaj, merr çdo skedar tarball, injekton bundle.js dhe një hyrje pas instalimit, dhe e riboton paketën.
• Si rezultat, dhjetëra pako të infektuara mund të shfaqen brenda pak orësh, duke shumëzuar rrezen e shpërthimit në të gjithë ekosistemin.

Këmbëngulja dhe ekspozimi

• Krimbi mban gjallë rrjedhat e punës keqdashëse dhe, në disa raste, i kthen depot private në publike me një “-migrim” prapashtesë. Në përgjithësi, kjo siguron që sulmuesi të mbajë një pikëmbështetje dhe të maksimizojë rrjedhjen e të dhënave.

Shënim për zbulimin e çelësit
Ky përdorim i pazakontë i ${{ toJSON(secrets) }} në rrjedhat e punës të Actions është e rrallë. Prandaj, Ekipet duhet ta trajtojnë atë si një tregues të sinjalit të lartë gjatë gjuetisë.

Model i pastruar i rrjedhës së punës që duhet të kërkoni

Ky përdorim i pazakontë i në JSON (sekrete) në Veprime është një tregues me sinjal të lartë në këtë incident.

Pseudo-kod përhapjeje të nivelit të lartë (i sigurt, përshkrues)