Shai-Hulud: Förklaring av npm-paketmasken

Effekten av Shai-Hulud-attacken mot leveranskedjan på ledningen

Shai-Hulud är fortfarande aktiv idag. Denna mask påskyndar nedslagstidslinjen. Det som en gång tog veckor med en trojan utvecklas nu på timmar. Som ett resultat, Spridningen är snabbare och svårare att begränsa. Det går framåt genom att:

• Stjäl npm-publiceringstokens och GitHub-hemligheter.
• Publicerar sig själv igen i andra npm-paket.
• Lägger till skadliga GitHub Actions-arbetsflöden för beständighet.

Vem drabbas:

Alla team som installerar publika npm-paket exponeras. Dessutom löper utvecklare med cachade npm- eller GitHub-tokens hög risk. CI-körare som använder hemligheter med bred omfattning är också sårbara.

Affärsrisk

Affärspåverkan växer snabbt. Stulna tokens kan leda till kontoövertagande, paketkapning och till och med missbruk av molnet. Dessutom gör ihållande GitHub-arbetsflöden det svårare att rensa. Därför, lag måste behandla Shai-Hulud som en pågående incident, inte en stängd.

Hur Shai-Hulud Supply Chain Attack fungerar i npm-paket

Angriparens mål och motiv

Kampanjen optimerar för tre saker:

• Det första målet är att stjäla inloggningsuppgifter i stor skala från utvecklarbärbara datorer och CI-användare. Detta inkluderar npm-publiceringstokens, GitHub-tokens och molnuppgifter. Faktum är att flera analyser bekräftar systematisk insamling av hemliga data, som att köra TruffleHog och fråga molnmetadata-slutpunkter.
• Det andra målet är att föröka sig automatiskt genom att missbruka publiceringsrättigheterna för komprometterade utvecklare. Som ett resultat expanderar ett fotfäste snabbt till många, eftersom nya infekterade versioner av andra paket dyker upp utan ytterligare mänsklig ansträngning.
• Det tredje målet är att bestå och exfiltrera pålitligt genom GitHub-infrastrukturen. Angripare skapar ett offentligt repo med namnet "Shai-Hulud" med en dubbel bas64 data.json, och dessutom planterar de ett arbetsflöde som serialiserar ${{ toJSON(hemligheter) }} och postar den till en statisk webhook.

Den sannolika vinsten inkluderar långvarig åtkomst till register och källkod, snabb lateral förflyttning till molnkonton och möjligheten att ytterligare beväpna leveranskedjan. Offentlig rapportering visar att privata repo-enheter har blivit offentliga med en "-migration" suffix, vilket ökar dataexponering och momentum

Inuti Shai-Hulud-nyttolasten: bundle.js i npm-paket

Shai-Hulud skickas som en stor, Webpack-bundlad och kraftigt minimerad JavaScript-fil (bundle.js, cirka 3–3.7 MB) som körs från en efterinstallation haka i package.jsonFöljaktligen, Varje installation utlöser nyttolasten automatiskt. Denna design döljer identifierare, komprimerar kontrollflödet och samlar all logik i en enda artefakt som körs under installationen. Analytiker bekräftar konsekvent Webpack-bundling, ovanlig filstorlek och körning vid installationstid.

Obfuskations- och antianalysegenskaper som du kommer att se i exempel:

• Minimerad modulgraf med numeriska modul-ID:n, glesa kommentarer och ett utplattat kontrollflöde. Dessutom, Denna struktur gör manuell granskning extremt svår.
• Strängdöljning via base64-lager och konstruktionshjälpmedel. Till exempel, Upprepad base64-kodning och avkodning förekommer vanligtvis runt exfiltreringsrutiner.
• Dynamisk utskick dig genom eval-style-mönster och genererade funktionskroppar, vilket gör det möjligt för kod att ändra beteende vid körning.
• OS-filtrering att föredra Linux- och macOS-körning, särskilt på CI-användare och bärbara datorer för utvecklare.

Ur ett funktionellt perspektiv är paketet modulärt. Sammanfattningarna beskriver moduler för OS-upptäckt, skanningar av filsystem och git-hemligheter, åtkomst till moln-SDK, GitHub API-operationer och en propageringsmotor som redigerar andra paket som ansvarig äger. Faktum är att både StepSecurity och ReversingLabs lyfter fram en funktion som automatiskt uppdaterar paket med den skadliga hooken.

Installationstidskörning i Shai-Hulud: Hur npm-paket utlöser masken

Attacken börjar när efterinstallation körs nod bundle.js. Vid denna tidpunkt initieras skriptet och packar upp arbetstillståndet i minnet, vilket sätter grunden för maskens fulla drift.

Upptäckt och skörd

• Nyttelasten dumpar process.env och skannar lokala filer efter hemligheter med hög entropi och tokenprefix. Dessutom utökar den täckningen genom att köra TruffleHog.
• Den frågar efter molnmetadata-slutpunkter för att samla in kortlivade autentiseringsuppgifter. Till exempel, ringer till 169.254.169.254 på AWS eller metadata.google.internal på GCP förekommer ofta hos infekterade värdar.
• Följaktligen, Alla autentiseringsuppgifter som hittas blir omedelbart användbara för att publicera nya npm-paket eller pusha GitHub-arbetsflöden.

exfiltration

• Masken skapar ett nytt GitHub-arkiv med namnet Shai Hulud och skriver en dubbel base64-kodad data.json med plattformsdetaljer, miljödumpar och hemligheter. Som man kan se är detta högljudda beteende lätt att upptäcka om försvarare vet var de ska leta.
• Den planterar också ett GitHub Actions-arbetsflöde, ofta på en gren med namnet Shai-hulud, som serialiserar ${{ toJSON(secrets) }} och skickar informationen till en statisk webhook. Dessutom kvarstår detta arbetsflöde tills någon aktivt tar bort det.

Fortplantning

• Med varje upptäckt npm-token räknar nyttolasten upp alla paket som ägs av den komprometterade utvecklaren. Sedan hämtar den varje tarball, injicerar bundle.js och en postinstall-post och publicerar paketet igen.
• Som ett resultat kan dussintals infekterade paket dyka upp inom loppet av några timmar, vilket multiplicerar explosionsradien över ekosystemet.

Persistens och exponering

• Masken håller skadliga arbetsflöden vid liv och, i flera fall, gör privata arkiv offentliga med en "-migration" suffix. Sammantaget säkerställer detta att angriparen behåller ett fotfäste och maximerar dataläckage.

Anmärkning om nyckeldetektering
Denna ovanliga användning av ${{ toJSON(secrets) }} i Actions-arbetsflöden är sällsynta. Därför, Lag bör behandla det som en stark indikator under jakter.

Sanerat arbetsflödesmönster du bör leta efter

Denna ovanliga användning av till JSON (hemligheter) i Åtgärder är en tydlig indikator i den här incidenten.

Pseudokod för utbredning på hög nivå (säker, beskrivande)