Shai-Hulud: Maelezo ya Vifurushi vya npm vya Minyoo

Athari za Kiutendaji za Shambulio la Mnyororo wa Ugavi wa Shai-Hulud

Shai-Hulud bado inaendelea kufanya kazi hadi leo. Mdudu huyu huharakisha muda wa athari. Kile kilichochukua wiki kadhaa na Trojan sasa kinajitokeza kwa saa kadhaa. Matokeo yake, kuenea ni kwa kasi na vigumu zaidi kudhibiti. Inasonga mbele kwa:

• Kuiba tokeni za kuchapisha za npm na siri za GitHub.
• Kujichapisha upya katika vifurushi vingine vya npm.
• Kuongeza mtiririko wa kazi hasidi wa Vitendo vya GitHub kwa ajili ya kuendelea.

Nani ameathirika:

Timu yoyote inayosakinisha vifurushi vya umma vya npm huwekwa wazi. Zaidi ya hayo, wasanidi programu walio na tokeni za npm au GitHub zilizohifadhiwa wanakabiliwa na hatari kubwa. Waendeshaji wa CI wanaotumia siri zenye upana pia wako katika hatari.

Hatari ya biashara

Athari ya biashara inakua haraka. Tokeni zilizoibiwa zinaweza kusababisha umiliki wa akaunti, utekaji nyara wa vifurushi, na hata matumizi mabaya ya wingu. Zaidi ya hayo, kuendelea katika mtiririko wa kazi wa GitHub hufanya iwe vigumu kusafisha., timu lazima zimchukulie Shai-Hulud kama tukio linaloendelea, si tukio lililofungwa.

Jinsi Shambulio la Shai-Hulud la Ugavi Linavyofanya Kazi katika Vifurushi vya npm

Malengo na nia ya mshambuliaji

Kampeni inaboresha kwa mambo matatu:

• Lengo la kwanza ni kuiba sifa kwa kiwango kutoka kwa kompyuta za mkononi za wasanidi programu na viendeshaji vya CI. Hii inajumuisha tokeni za kuchapisha za npm, tokeni za GitHub, na vitambulisho vya wingu. Kwa kweli, uchanganuzi mwingi unathibitisha uvunaji wa siri wa kimfumo, kama vile kuendesha TruffleHog na kuuliza sehemu za mwisho za metadata ya wingu.
• Lengo la pili ni sambaza kiotomatiki kwa kutumia vibaya haki za uchapishaji za wasimamizi walioathiriwa. Matokeo yake, nafasi moja hupanuka haraka hadi nyingi, kwa kuwa matoleo mapya yaliyoambukizwa ya vifurushi vingine huonekana bila juhudi za ziada za kibinadamu.
• Lengo la tatu ni huendelea na huchuja kwa uhakika kupitia miundombinu ya GitHub. Washambuliaji huunda jumba la umma linaloitwa "Shai-Hulud" lenye besi mbili64 data.json, na zaidi ya hayo wanaanzisha mtiririko wa kazi unaofanya mfululizo ${{ kwaJSON(siri) }} na kuichapisha kwenye mtandao tuli.

Faida inayowezekana ni pamoja na ufikiaji wa muda mrefu wa sajili na msimbo wa chanzo, uhamishaji wa haraka wa upande kwenye akaunti za wingu, na chaguo la kutumia mnyororo wa usambazaji zaidi. Ripoti za umma zinaonyesha hazina za kibinafsi zimebadilishwa kwa umma na "-uhamiaji" kiambishi tamati, ambacho huongeza uwazi na kasi ya data

Ndani ya Mzigo wa Shai-Hulud: kifurushi.js katika vifurushi vya npm

Shai-Hulud husafirisha kama kubwa, imeunganishwa kwenye kifurushi cha wavuti na imefupishwa sana Faili ya JavaScript (kifurushi.js, takriban MB 3–3.7) ambayo hutekeleza kutoka baada ya kusakinisha unganisha kifurushi.jsonKwa hivyo, Kila usakinishaji huanzisha mzigo kiotomatiki. Muundo huu huficha vitambulisho, hubana mtiririko wa udhibiti, na husukuma mantiki yote kwenye kipengee kimoja kinachofanya kazi wakati wa usakinishaji. Wachambuzi huthibitisha mara kwa mara ujumuishaji wa vifurushi vya wavuti, ukubwa usio wa kawaida wa faili, na utekelezaji wa muda wa usakinishaji.

Sifa za kuficha na kupinga uchambuzi utakazoziona katika sampuli:

• Grafu ya moduli iliyopunguzwa yenye vitambulisho vya moduli za nambari, maoni machache, na mtiririko wa udhibiti uliobanwa. Zaidi ya hayo,, Muundo huu hufanya mapitio ya mwongozo kuwa magumu sana.
• Kuficha kamba kupitia tabaka za msingi64 na wasaidizi wa ujenzi. Kwa mfano, Usimbaji na usimbaji unaorudiwa wa base64 kwa kawaida huonekana karibu na utaratibu wa kuchuja.
• Usambazaji wa nguvu kwa njia ya eval-mitindo ya mitindo na miili ya utendaji inayozalishwa, kwa hivyo kuwezesha msimbo kubadilisha tabia wakati wa utekelezaji.
• Uchujaji wa mfumo wa uendeshaji kupendelea utekelezaji wa Linux na macOS haswa kwenye viendeshaji vya CI na kompyuta za mkononi za watengenezaji.

Kutoka kwa pembe inayofanya kazi, kifungu ni cha moduli. Writeups huelezea moduli za ugunduzi wa mfumo wa uendeshaji, mifumo ya faili na skani za siri za git, ufikiaji wa SDK ya wingu, shughuli za API za GitHub, na injini ya uenezaji inayohariri vifurushi vingine ambavyo mhudumu anamiliki. Kwa kweli, StepSecurity na ReversingLabs zote huangazia kitendakazi kinachosasisha kiotomatiki vifurushi kwa kutumia ndoano hasidi.

Utekelezaji wa Wakati wa Usakinishaji katika Shai-Hulud: Jinsi Vifurushi vya npm Vinavyosababisha Mdudu

Shambulio linaanza wakati baada ya kusakinisha huendesha nodi kifurushi.js. Katika hatua hii, hati huanzisha na kufungua hali ya kufanya kazi katika kumbukumbu, na kuweka msingi wa utendaji kamili wa mdudu.

Ugunduzi na Uvunaji

• Malipo ya mzigo hutupa process.env na kuchanganua faili za ndani kwa siri za entropy ya juu na viambishi awali vya tokeni. Zaidi ya hayo, inapanua wigo kwa kuendesha TruffleHog.
• Inauliza sehemu za mwisho za metadata ya wingu ili kukusanya vitambulisho vya muda mfupi. Kwa mfano, simu kwa 169.254.169.254 kwenye AWS au metadata.google.internal kwenye GCP mara nyingi huonekana katika wenyeji walioambukizwa.
• Hivyo, Kitambulisho chochote kinachopatikana kinaweza kutumika mara moja kuchapisha vifurushi vipya vya npm au kusukuma mtiririko wa kazi wa GitHub.

exfiltration

• Mdudu huunda repo mpya ya GitHub inayoitwa Shai Hulud na huandika msimbo wa msingi maradufu64 data.json pamoja na maelezo ya jukwaa, matuta ya mazingira, na siri. Kama inavyoonekana, tabia hii ya kelele ni rahisi kuiona ikiwa watetezi wanajua wapi pa kuangalia.
• Pia huanzisha mtiririko wa kazi wa Vitendo vya GitHub, mara nyingi kwenye tawi linaloitwa shai-hulud, ambayo huweka mfululizo ${{ toJSON(secrets) }} na huchapisha data kwenye mtandao tuli. Zaidi ya hayo, mtiririko huu wa kazi unaendelea hadi mtu aiondoe kikamilifu.

Uenezi

• Kwa tokeni yoyote ya npm iliyogunduliwa, mzigo wa malipo huorodhesha vifurushi vyote vinavyomilikiwa na mlezi aliyeathiriwa. Kisha, huchota kila tarball, huingiza bundle.js na ingizo la baada ya kusakinisha, na kuchapisha tena kifurushi.
• Kwa hivyo, vifurushi vingi vilivyoambukizwa vinaweza kuonekana katika muda wa saa chache, na kuzidisha kipenyo cha mlipuko katika mfumo ikolojia.

Uvumilivu na mfiduo

• Mdudu huweka kazi mbaya za kazi na, katika visa kadhaa, hubadilisha hifadhi za kibinafsi kuwa za umma na "-uhamiaji" kiambishi tamati. Kwa ujumla, hii inahakikisha mshambuliaji anadumisha nafasi na kuongeza uvujaji wa data.

Dokezo la kugundua ufunguo
Matumizi haya yasiyo ya kawaida ya ${{ toJSON(secrets) }} katika mtiririko wa kazi wa Actions ni nadra. Kwa hiyo, Timu zinapaswa kuichukulia kama kiashiria cha ishara kubwa wakati wa uwindaji.

Muundo wa mtiririko wa kazi uliosafishwa unaopaswa kutafuta

Matumizi haya yasiyo ya kawaida ya kwa JSON (siri) katika Vitendo ni kiashiria cha ishara kubwa katika tukio hili.

Msimbo bandia wa uenezaji wa kiwango cha juu (salama, maelezo)