Shai-Hulud: Liphutheloana tsa npm tsa Worm li Hlalositsoe

Tšusumetso ea Phethahatso ea Tlhaselo ea Shai-Hulud Supply Chain

Shai-Hulud e ntse e sebetsa le kajeno. Seboko sena se potlakisa nako ea tlhaselo. Seo pele se neng se nka libeke ka trojan joale se senoloa ka lihora. Ka lebaka leo, ho ata hona ho potlakile ebile ho thata ho ho thibela. E hatela pele ka:

• Ho utsoa li-tokens tsa npm le liphiri tsa GitHub.
• Ho iphatlalatsa hape ka har'a liphutheloana tse ling tsa npm.
• Ho eketsa mesebetsi e mpe ea Liketso tsa GitHub bakeng sa ho phehella.

Ke mang ea amehang:

Sehlopha sefe kapa sefe se kenyang liphutheloana tsa sechaba tsa npm se pepesehile. Ho feta moo, bahlahisi ba nang le li-tokens tsa npm kapa tsa GitHub tse bolokiloeng ba tobane le kotsi e kholo. Basebelisi ba CI ba sebelisang liphiri tse pharaletseng le bona ba kotsing.

Kotsi ea khoebo

Tšusumetso ea khoebo e hola ka potlako. Li-tokens tse utsoitsoeng li ka lebisa ho nkeng liakhaonto, ho utsuoa ha liphutheloana, esita le tšebeliso e mpe ea leru. Ho phaella moo, ho phehella ha mesebetsi ea GitHub ho etsa hore ho be thata ho e hloekisa., lihlopha li tlameha ho tšoara Shai-Hulud e le ketsahalo e tsoelang pele, eseng e koetsoeng.

Tsela eo Tlhaselo ea Shai-Hulud Supply Chain e Sebetsang ka Eona ka Liphutheloana tsa npm

Sepheo le sepheo sa mohlaseli

Letšolo lena le ntlafatsa lintho tse tharo:

• Sepheo sa pele ke ho utsoa mangolo a tumello ka tekanyo e kholo ho tsoa ho lilaptop tsa bahlahisi le li-runner tsa CI. Sena se kenyelletsa li-tokens tsa npm publish, li-tokens tsa GitHub, le mangolo a tumello a leru. Ha e le hantle, litlhahlobo tse ngata li tiisa kotulo ea lekunutu e hlophisitsoeng, joalo ka ho tsamaisa TruffleHog le ho botsa lintlha tsa qetello tsa metadata ea leru.
• Sepheo sa bobeli ke ho jala ka bohona ka ho sebelisa hampe litokelo tsa phatlalatso tsa bahlokomeli ba nang le bothata. Ka lebaka leo, sebaka se le seng se atoloha ka potlako ho ba bangata, kaha mefuta e mecha e tšoaelitsoeng ea liphutheloana tse ling e hlaha ntle le boiteko bo eketsehileng ba motho.
• Sepheo sa boraro ke ho e phehella le ho tsoa ka mokhoa o tšepahalang ka meralo ea motheo ea GitHub. Bahlaseli ba theha repo ea sechaba e bitsoang "Shai-Hulud" e nang le motheo o habeli64 data.json, 'me ho phaella moo ba jala mokhoa oa tšebetso o etsang letoto la liketsahalo ka tatellano ${{ ho JSON(liphiri) }} 'me e e romelle ho webhook e sa fetoheng.

Moputso o ka bang teng o kenyeletsa phihlello ea nako e telele ho li-registry le khoutu ea mohloli, ho falla ka potlako ka lehlakoreng le leng ho ea liakhaontong tsa leru, le khetho ea ho sebelisa ketane ea phepelo ka matla ho feta moo. Litlaleho tsa sechaba li bontša hore li-repo tsa poraefete li fetisetsoa sechabeng ka "-phallo" sehlomathiso, se eketsang ho pepesehela data le lebelo

Ka hare ho Moroalo oa Shai-Hulud: bundle.js ka har'a liphutheloana tsa npm

Likepe tsa Shai-Hulud e le e kgolo, e phuthetswe ka Webpack mme e ntlafaditswe haholo Faele ea JavaScript (bundle.js, hoo e ka bang 3–3.7 MB) e phethahatsang ho tloha ho kamora ho kenya hokela kahare sejana.jsonKa lebaka leo, ho kenya ho hong le ho hong ho qala mojaro ka bohona. Moralo ona o pata di-identifier, o hatella phallo ya taolo, mme o sutumelletsa logic yohle ho artifact e le nngwe e sebetsang nakong ya ho kenya. Bahlahlobisisi ba tiisa ka mehla ho bokellana ha Webpack, boholo bo sa tlwaelehang ba difaele, le ho kenya tshebetsong nako.

Litšobotsi tsa ho se tsitse le ho se hlahlobisise tseo u tla li bona lisampoleng:

• Kerafo ea mojule e nang le lintlha tse nyane ka li-ID tsa mojule tsa linomoro, litlhaloso tse fokolang, le phallo ea taolo e bataletseng., Sebopeho sena se etsa hore tlhahlobo ea letsoho e be thata haholo.
• Ho pata khoele ka mealo ea base64 le bathusi ba kaho. Mohlala, Hangata ho ngola le ho toloka ha base64 ho pheta-phetoang ho hlaha ho potoloha mekgwa ya ho ntsha dikhemikhale.
• Tsamaiso e matla ho pholletsa eval-mekhoa ea setaele le 'mele ea ts'ebetso e hlahisitsoeng, ka hona e nolofalletsa khoutu ho fetola boitšoaro nakong ea ts'ebetso.
• Ho sefa OS ho khetha ts'ebetso ea Linux le macOS haholo-holo ho li-runers tsa CI le lilaptop tsa bahlahisi.

Ho tloha ka lehlakoreng le sebetsang, sephutheloana se na le modular. Li-writeup li hlalosa li-module tsa ho sibolla OS, li-filesystem le li-git secret scans, phihlello ea cloud SDK, ts'ebetso ea GitHub API, le enjene ea phatlalatso e hlophisang liphutheloana tse ling tseo mohlokomeli a nang le tsona. Ha e le hantle, StepSecurity le ReversingLabs ka bobeli li totobatsa ts'ebetso e ntlafatsang liphutheloana ka boiketsetso ka hook e kotsi.

Ho kenya Nako ea ho kenya ho Shai-Hulud: Kamoo liphutheloana tsa npm li bakang Worm kateng

Tlhaselo e qala ha node ea ho kenya kamora ho kenya bundle.js. Nakong ena, sengoloa se qala le ho phutholla boemo ba ho sebetsa ka mohopolo, se beha sethala sa ts'ebetso e felletseng ea seboko.

Ho sibolla le ho kotula

• Payload dumps e process.env mme e skena difaele tsa lehae bakeng sa diphiri tse nang le entropy e phahameng le di-prefixes tsa token. Ho phaella moo, e atolosa kgaso ka ho sebedisa TruffleHog.
• E botsa lintlha tsa qetello tsa metadata ea leru ho bokella mangolo a tumello a nako e khuts'oane. Mohlala, mehala ho 169.254.169.254 ho AWS kapa metadata.google.internal ho GCP hangata ho hlaha ho batho ba nang le tšoaetso.
• Ka hona, lengolo lefe kapa lefe la bopaki le fumanwang le ka sebediswa hanghang ho phatlalatsa diphutheloana tse ntjha tsa npm kapa ho sutumelletsa mesebetsi ya GitHub.

Exfiltration

• Seboko se theha repo e ncha ea GitHub e bitsoang Shai-Hulud mme o ngola khoutu e habeli ya base64 data.json ka lintlha tsa sethala, libaka tsa ho lahla tikoloho le liphiri. Joalokaha ho ka bonoa, boitšoaro bona bo lerata bo bonolo ho bo bona haeba basireletsi ba tseba moo ba ka shebang teng.
• E boetse e jala mokhoa oa tšebetso oa GitHub Actions, hangata lekaleng le bitsoang shai-hulud, e etsang letoto la liketsahalo ${{ toJSON(secrets) }} mme e beha data ho webhook e sa fetoheng. Ho feta moo, mokhoa ona wa tshebetso o tla tswela pele ho fihlela motho e mong a e tlosa ka mafolofolo.

Keketseho

• Ka token efe kapa efe e fumanoeng ea npm, payload e bala liphutheloana tsohle tse ruiloeng ke mohlokomeli ea nang le bothata. Ebe, e lata tarball e 'ngoe le e 'ngoe, e kenya bundle.js le ho kena ka mor'a ho kenya, ebe e phatlalatsa sephutheloana hape.
• Ka lebaka leo, liphutheloana tse ngata tse tšoaelitsoeng li ka hlaha ka mor'a lihora tse 'maloa, li atisa radius ea ho phatloha ho pholletsa le tikoloho.

Ho phehella le ho pepesehela

• Seboko se boloka mesebetsi e kotsi e ntse e phela, 'me maemong a' maloa, se fetola li-repo tsa poraefete ho ea phatlalatsa ka "-phallo" sesupa-tsela. Ka kakaretso, sena se netefatsa hore mohlaseli o boloka sebaka mme o eketsa ho dutla ha data.

Ntlha ea ho lemoha senotlolo
Tšebeliso ena e sa tloaelehang ea ${{ toJSON(secrets) }} ho Liketso, mesebetsi ea ts'ebetso ha e fumanehe hangata. Ka lebaka leo, Lihlopha li lokela ho e nka e le sesupo se phahameng nakong ea ho tsoma.

Mokhoa oa ho sebetsa o hloekileng oo u lokelang ho o batla

Tšebeliso ena e sa tloaelehang ea ho JSON (liphiri) ho Liketso ke sesupo se seholo ketsahalong ena.

Khoutu ea bohata ea phatlalatso ea boemo bo holimo (e bolokehileng, e hlalosang)