Shai-Hulud: Dijelaskeunana Cacing Paket npm

Dampak Eksekutif tina Serangan Rantai Pasokan Shai-Hulud

Shai-Hulud masih aktip nepi ka ayeuna. Cacing ieu ngagancangkeun linimasa dampak. Anu baheula butuh sababaraha minggu ku trojan ayeuna bisa sumebar dina sababaraha jam. Hasilna, panyebaranna langkung gancang sareng langkung sesah dicegah. Éta maju ku:

• Maok token penerbitan npm sareng rahasia GitHub.
• Ngapublikasikeun deui dirina kana pakét npm anu sanés.
• Nambahkeun alur kerja GitHub Actions anu jahat pikeun persistensi.

Saha anu kapangaruhan:

Tim mana waé anu masang pakét npm umum bakal kakeunaan. Leuwih ti éta, pamekar anu gaduh token npm atanapi GitHub anu disimpen dina cache nyanghareupan résiko anu luhur. Runner CI anu nganggo rahasia anu lega ogé rentan.

Résiko bisnis

Dampak bisnisna gancang pisan. Token anu dipaling tiasa nyababkeun akuisisi akun, pembajakan paket, sareng bahkan penyalahgunaan awan. Salian ti éta, kegigihan dina alur kerja GitHub ngajantenkeun langkung sesah dibersihkeun. Ku alatan éta,, tim kedah nganggap Shai-Hulud salaku kajadian anu lumangsung, sanés kajadian anu ditutup.

Kumaha Serangan Rantai Pasokan Shai-Hulud Gawéna dina Paket npm

Tujuan sareng motif panyerang

Kampanye ieu ngaoptimalkeun pikeun tilu hal:

• Tujuan anu kahiji nyaéta pikeun maok kredensial dina skala ageung ti laptop pamekar sareng CI runners. Ieu kalebet token publikasi npm, token GitHub, sareng kredensial awan. Kanyataanna, sababaraha analisis mastikeun panén rahasia sistematis, sapertos ngajalankeun TruffleHog sareng naroskeun titik tungtung metadata awan.
• Tujuan kadua nyaéta pikeun nyebarkeun sacara otomatis ku cara nyalahgunakeun hak penerbitan ti pangurus anu kaganggu. Hasilna, hiji tempat pijakan gancang ngalegaan ka seueur, kumargi vérsi anyar anu kainféksi tina pakét sanés muncul tanpa usaha manusa tambahan.
• Tujuan katilu nyaéta pikeun tetep sareng tiasa kaluar tina filtrasi kalayan dipercaya ngaliwatan infrastruktur GitHub. Panyerang nyieun repo umum anu dingaranan "Shai-Hulud" kalayan basis ganda64 data.json, sareng salian ti éta aranjeunna melak alur kerja anu ngarundaykeun ${{ toJSON(rahasia) }} sareng ngirimkeunana ka webhook statis.

Kauntungan anu kamungkinan kalebet aksés anu lami kana pendaptaran sareng kode sumber, gerakan lateral anu gancang kana akun awan, sareng pilihan pikeun ngajantenkeun ranté suplai langkung jauh. Laporan umum nunjukkeun repo swasta dibalikkeun ka publik kalayan a "-migrasi" akhiran, anu ningkatkeun paparan data sareng momentum

Di jero Muatan Shai-Hulud: bundel.js dina Paket npm

Kapal Shai-Hulud salaku ageung, dibundel Webpack sareng diminimalkeun pisan File JavaScript (bundel.js, sakitar 3–3.7 MB) anu ngalaksanakeun tina hiji saatos dipasang ngaitkeun rangkep.json. Ku kituna, Unggal pamasangan bakal micu payload sacara otomatis. Desain ieu nyumputkeun idéntifikasi, ngomprés aliran kontrol, sareng ngadorong sadaya logika kana hiji artefak anu dijalankeun nalika pamasangan. Analis sacara konsisten mastikeun bundling Webpack, ukuran file anu teu biasa, sareng palaksanaan waktos pamasangan.

Sipat-sipat obfuskasi sareng anti-analisis anu anjeun bakal tingali dina conto:

• Grafik modul anu diminify kalayan ID modul numerik, komentar anu jarang, sareng aliran kontrol anu rata. Sumawona, struktur ieu ngajantenkeun tinjauan manual hésé pisan.
• Nyumputkeun tali via lapisan base64 sareng asisten konstruksi. Salaku conto, Encoding sareng decoding base64 anu diulang-ulang biasana muncul di sakitar rutinitas exfiltration.
• Pangiriman dinamis ngaliwatan ngabuktikeunpola gaya sareng awak fungsi anu dihasilkeun, ku kituna ngamungkinkeun kode pikeun ngarobih paripolah nalika runtime.
• Panyaringan OS leuwih resep kana palaksanaan Linux sareng macOS khususna dina CI runners sareng laptop pamekar.

Tina sudut pandang fungsional, ieu bungkusan téh modular. Tulisan ngajelaskeun modul pikeun panemuan OS, scan rahasia sistem file sareng git, aksés SDK awan, operasi API GitHub, sareng mesin propagasi anu ngédit pakét sanés anu dipiboga ku pangurus. Kanyataanna, StepSecurity sareng ReversingLabs duanana nyorot fungsi anu sacara otomatis ngapdet pakét nganggo hook jahat.

Eksekusi Waktu Instalasi dina Shai-Hulud: Kumaha Paket npm Micu Worm

Serangan dimimitian nalika saatos pamasangan ngajalankeun node bundel.js. Dina tahap ieu, skrip bakal ngainisialisasi sareng ngabongkar kaayaan kerja dina mémori, nyetél panggung pikeun operasi pinuh cacing.

Kapanggihna sareng panén

• Payload dumps ngolah .env sareng nyeken file lokal pikeun rusiah entropi tinggi sareng awalan token. Salian ti éta, éta ngalegaan jangkauan ku ngajalankeun TruffleHog.
• Éta ngarékoméndasi titik tungtung metadata awan pikeun ngumpulkeun kredensial anu umurna pondok. Contona, nelepon ka 169.254.169.254 dina AWS atanapi metadata.google.internal dina GCP sering muncul dina host anu kainféksi.
• akibatna, Sagala kredensial anu kapanggih bakal langsung tiasa dianggo pikeun nyebarkeun pakét npm énggal atanapi ngadorong alur kerja GitHub.

Exfiltration

• Cacing éta nyieun repo GitHub anyar nu dingaranan Shai Hulud sareng nyerat kode ganda anu dikodekeun ku base64 data.json kalayan detil platform, tempat pembuangan lingkungan, sareng rahasia. Sakumaha anu tiasa katingali, paripolah ribut ieu gampang dititénan upami para pembela terang ka mana kedah milarian.
• Éta ogé melak alur kerja GitHub Actions, seringna dina cabang anu dingaranan shai-hulud, anu ngarundaykeun ${{ toJSON(secrets) }} sareng ngirim data ka webhook statis. Salajengna, alur kerja ieu bakal terus lumangsung dugi ka aya anu sacara aktif ngahapusna.

Panyebaran

• Kalayan token npm anu kapanggih, payload bakal ngadaptar sadaya pakét anu dipiboga ku maintainer anu dikompromikeun. Teras, éta bakal ngajemput unggal tarball, nyuntikkeun bundle.js sareng éntri pasca-instalasi, teras nyebarkeun deui pakét éta.
• Hasilna, puluhan paket anu kainféksi tiasa muncul dina sababaraha jam, ngalikeun radius ledakan di sakumna ékosistem.

Persistensi sareng paparan

• Cacing éta ngajaga alur kerja jahat tetep hirup sareng, dina sababaraha kasus, ngabalikeun repo pribadi ka publik ku cara "-migrasi" akhiran. Sacara gembleng, ieu mastikeun panyerang ngajaga pijakan sareng ngamaksimalkeun bocor data.

Catetan deteksi konci
Panggunaan anu teu biasa ieu ${{ toJSON(secrets) }} Alur kerja dina Tindakan jarang kajadian. Ku alatan éta, tim kedah nganggap éta salaku indikator sinyal anu luhur nalika moro.

Pola alur kerja anu dibersihkeun anu anjeun kedah pilari

Panggunaan anu teu biasa ieu ka JSON(rahasia) dina Tindakan mangrupikeun indikator sinyal anu luhur dina kajadian ieu.

Pseudo-kode propagasi tingkat luhur (aman, deskriptif)