Шај-Хулуд: Објашњење црва npm пакета

Утицај напада на ланац снабдевања Шаи-Хулуда на руководећу функцију

Шаи-Хулуд је и данас активан. Овај црв убрзава временски оквир утицаја. Оно што је некада трајало недељама код тројанца сада се одвија за сате. Као резултат тога, ширење је брже и теже га је обуздати. Напредује тако што:

• Крађа npm токена за објаву и GitHub тајни.
• Поновно објављивање у другим npm пакетима.
• Додавање злонамерних GitHub Actions радних процеса за истрајност.

Ко је погођен:

Сваки тим који инсталира јавне npm пакете је изложен ризику. Штавише, програмери са кешираним npm или GitHub токенима суочавају се са високим ризиком. CI покретачи који користе широко доступне тајне су такође рањиви.

Пословни ризик

Утицај на пословање брзо расте. Украдени токени могу довести до преузимања налога, отимања пакета, па чак и злоупотребе облака. Поред тога, постојаност у GitHub токовима рада отежава чишћење. СтогаТимови морају третирати Шај-Хулуд као текући инцидент, а не као затворен.

Како функционише напад на ланац снабдевања Шаи-Хулуд у npm пакетима

Циљеви и мотив нападача

Кампања је оптимизована за три ствари:

• Први циљ је да краду акредитиве у великим размерама са лаптопова програмера и CI покретача. Ово укључује npm токене за објављивање, GitHub токене и cloud акредитиве. Заправо, вишеструке анализе потврђују систематско прикупљање тајних података, као што је покретање TruffleHog-а и испитивање крајњих тачака метаподатака у облаку.
• Други циљ је да аутоматски се проширује злоупотребом права на објављивање угрожених одржавалаца. Као резултат тога, једно упориште се брзо шири у многа, јер се нове заражене верзије других пакета појављују без додатног људског напора.
• Трећи циљ је да поуздано истрајава и излази из њих путем GitHub инфраструктуре. Нападачи креирају јавни репозиторијум под називом „Shai-Hulud“ са двоструком базом64 data.json, а поред тога, они постављају ток рада који серијализује ${{ toJSON(тајне) }} и објављује га на статичком вебхуку.

Вероватна корист укључује дуготрајан приступ регистрима и изворном коду, брзо латерално кретање ка клауд налозима и могућност даљег наоружавања ланца снабдевања. Јавни извештаји показују да су приватни репозиторијуми пребачени у јавне са... „-миграција“ суфикс, који повећава изложеност подацима и замах

Унутар Шаи-Хулуд терета: бундле.јс у npm пакетима

Шај-Хулуд шаље као велики, Webpack-у пакету и јако минификован ЈаваСцрипт фајл (бундле.јс, око 3–3.7 МБ) који се извршава из након инсталације закачити пацкаге.јсонСходно томе, Свака инсталација аутоматски покреће корисни терет. Овај дизајн скрива идентификаторе, компресује ток контроле и ставља сву логику у један артефакт који се извршава током инсталације. Аналитичари доследно потврђују груписање Webpack-а, неуобичајену величину датотеке и извршавање током инсталације.

Особине замагљивања и анти-аналитике које ћете видети у узорцима:

• График минификованог модула са нумеричким ИД-овима модула, ретким коментарима и спљоштеним током управљања. Штавише, Ова структура изузетно отежава ручни преглед.
• Сакривање низа преко base64 слојева и помоћних алата за конструкцију. На пример, Поновљено base64 кодирање и декодирање се обично појављује око рутина ексфилтрације.
• Динамичка отпрема кроз евал-стилски обрасци и генерисана тела функција, што омогућава коду да промени понашање током извршавања.
• Филтрирање ОС-а да се преферира извршавање Linux-а и macOS-а, посебно на CI рутерима и лаптоповима за програмере.

Са функционалног аспекта, пакет је модуларан. Описи описују модуле за откривање оперативног система, скенирање фајл система и тајних гит података, приступ cloud SDK-у, операције GitHub API-ја и механизам за пропагацију који уређује друге пакете које поседује одржавалац. У ствари, StepSecurity и ReversingLabs истичу функцију која аутоматски ажурира пакете са злонамерним хооком.

Извршавање током инсталације у Шаи-Хулуд-у: Како npm пакети покрећу црва

Напад почиње када након инсталације, покреће чвор бундле.јс. У овом тренутку, скрипта се иницијализује и распакује радно стање у меморији, постављајући темеље за пуни рад црва.

Откриће и жетва

• Корисни терет врши дампове process.env и скенира локалне датотеке за тајне датотеке високе ентропије и префиксе токена. Поред тога, проширује покривеност покретањем TruffleHog-а.
• Упитује крајње тачке метаподатака у облаку како би прикупио краткотрајне акредитиве. На пример, позива 169.254.169.254 на AWS-у или metadata.google.internal на GCP-у се често појављују код заражених домаћина.
• Сходно томе, Сваки пронађени акредитив постаје одмах употребљив за објављивање нових npm пакета или покретање GitHub токова рада.

Ексфилтрација

• Црв креира нови GitHub репозиторијум под називом Схаи Хулуд и пише двоструко base64 кодирано data.json са детаљима платформе, дамповима окружења и тајнама. Као што се може видети, ово бучно понашање је лако уочити ако браниоци знају где да траже.
• Такође поставља GitHub Actions ток рада, често на грану под називом шаи-хулуд, који серијализује ${{ toJSON(secrets) }} и објављује податке на статичком вебхуку. Штавише, овај ток рада се наставља док га неко активно не уклони.

Ширење

• Са сваким откривеним npm токеном, корисни терет набраја све пакете у власништву угроженог одржаваоца. Затим, преузима сваки tarball, убризгава bundle.js и постинсталациони запис, и поново објављује пакет.
• Као резултат тога, десетине заражених пакета могу се појавити за неколико сати, множећи радијус експлозије у екосистему.

Упорност и изложеност

• Црв одржава злонамерне радне процесе у животу и, у неколико случајева, претвара приватна складишта у јавна са „-миграција“ суфикс. Све у свему, ово осигурава да нападач одржи упориште и максимизира цурење података.

Белешка о откривању кључа
Ова необична употреба ${{ toJSON(secrets) }} у радним токовима Акција је ретко. Дакле, Тимови би требало да га третирају као индикатор високог сигнала током лова.

Дезинфиковани образац тока посла који би требало да тражите

Ова необична употреба до JSON(тајне) у Акцијама је индикатор високог сигнала у овом инциденту.

Псеудокод за пропагацију високог нивоа (безбедан, дескриптиван)