Шай-Ҳулуд: Шарҳи кирми бастаҳои npm

Таъсири иҷроияи ҳамла ба занҷираи таъминоти Шай-Ҳулуд

Шай-Ҳулуд имрӯз ҳам фаъол аст. Ин кирм ҷадвали таъсири онро суръат мебахшад. Он чизе, ки қаблан бо троян ҳафтаҳо тӯл мекашид, ҳоло дар тӯли соатҳо рух медиҳад. Дар натиҷа, паҳншавӣ тезтар ва боздоштанаш душвортар аст. Он тавассути инҳо пеш меравад:

• Дуздидани токенҳои нашри npm ва асрори GitHub.
• Аз нав нашр кардани худ дар дигар бастаҳои npm.
• Илова кардани ҷараёнҳои кории зараровари GitHub Actions барои устуворӣ.

Кӣ таъсир мерасонад:

Ҳар як дастае, ки бастаҳои npm-и оммавиро насб мекунад, зери хатар қарор мегирад. Ғайр аз ин, таҳиягароне, ки токенҳои npm ё GitHub-и кэшшударо доранд, бо хатари баланд рӯбарӯ мешаванд. Давандагони CI, ки аз сирри васеъ истифода мебаранд, низ осебпазиранд.

Хавфи тиҷорат

Таъсири тиҷорат босуръат меафзояд. Токенҳои дуздидашуда метавонанд боиси ғасби ҳисобҳо, рабудани бастаҳо ва ҳатто истифодаи нодурусти абр шаванд. Илова бар ин, устуворӣ дар ҷараёнҳои кории GitHub тоза кардани онро душвортар мекунад. Аз ин рӯ,, дастаҳо бояд Шай-Ҳулудро ҳамчун як ҳодисаи идомаёбанда, на ҳамчун як ҳодисаи пӯшида, баррасӣ кунанд.

Чӣ гуна ҳамлаи занҷири таъминоти Шай-Ҳулуд дар бастаҳои npm кор мекунад

Ҳадафҳо ва ангезаи ҳамлагар

Маърака барои се чиз оптимизатсия мекунад:

• Ҳадафи аввал ин аст, ки дуздидани эътимодномаҳо дар миқёси калон аз ноутбукҳои таҳиягар ва иҷрокунандагони CI. Ин токенҳои нашри npm, токенҳои GitHub ва эътимодномаҳои абриро дар бар мегирад. Дар асл, таҳлилҳои сершумор ҷамъоварии махфии систематикиро, ба монанди иҷро кардани TruffleHog ва дархост кардани нуқтаҳои ниҳоии метамаълумоти абрӣ, тасдиқ мекунанд.
• Ҳадафи дуюм ин аст, ки ба таври худкор паҳн кардан бо сӯиистифода аз ҳуқуқҳои нашри нигоҳдорандагони осебдида. Дар натиҷа, як поя зуд ба бисёриҳо паҳн мешавад, зеро версияҳои нави сироятёфтаи дигар бастаҳо бидуни саъю кӯшиши иловагии инсонӣ пайдо мешаванд.
• Ҳадафи сеюм ин аст, ки устуворӣ ва боэътимод хориҷ кардан тавассути инфрасохтори GitHub. Ҳамлагарон анбори оммавӣ бо номи "Шай-Ҳулуд"-ро бо пойгоҳи дугона эҷод мекунанд64 data.json, ва илова бар ин, онҳо ҷараёни кориеро месозанд, ки силсилабандӣ мекунад ${{ toJSON(сирҳо) }} ва онро ба вебҳуки статикӣ мефиристад.

Эҳтимол дорад, ки фоидаи он дастрасии дарозмуддат ба феҳристҳо ва рамзи сарчашма, ҳаракати зуди паҳлӯӣ ба ҳисобҳои абрӣ ва имкони силоҳ кардани занҷираи таъминотро дар бар гирад. Гузоришҳои оммавӣ нишон медиҳанд, ки анборҳои хусусӣ бо ... ба оммавӣ табдил дода шудаанд. «- муҳоҷират» пасванд, ки таъсири маълумот ва импулсро зиёд мекунад

Дар дохили боркаши Шай-Ҳулуд: bundle.js дар бастаҳои npm

Шай-Ҳулуд ҳамчун калон, бо бастабандии веб ва хеле минификатсияшуда Файли JavaScript (bundle.js, тақрибан 3–3.7 МБ) ки аз як иҷро мекунад пас аз насб кардан пайваст кардан бастаи.jsonДар натиҷа., Ҳар як насбкунӣ боркуниро ба таври худкор фаъол мекунад. Ин тарҳ идентификаторҳоро пинҳон мекунад, ҷараёни идоракуниро фишурда мекунад ва тамоми мантиқро ба як артефакте тела медиҳад, ки ҳангоми насб иҷро мешавад. Таҳлилгарон пайваста бастабандии Webpack, андозаи ғайриоддии файл ва иҷрои вақти насбро тасдиқ мекунанд.

Хусусиятҳои нофаҳмо ва зидди таҳлил, ки шумо дар намунаҳо хоҳед дид:

• Графики модули минификатсияшуда бо ID-ҳои рақамии модулҳо, шарҳҳои пароканда ва ҷараёни идоракунии ҳамворшуда. Ғайр аз ин, Ин сохтор баррасии дастӣро хеле душвор мегардонад.
• Пинҳон кардани ресмон тавассути қабатҳои base64 ва ёварони сохтмонӣ. Масалан, Рамзгузорӣ ва рамзкушоии такрории base64 одатан дар атрофи равандҳои эксфилтратсия пайдо мешаванд.
• Ирсоли динамикӣ ба воситаи арзёбӣ-намунаҳои услубӣ ва ҷисмҳои функсияҳои тавлидшуда, ки ба код имкон медиҳанд, ки рафторро дар вақти иҷро тағйир диҳад.
• Филтркунии системаи амалиётӣ бартарӣ додан ба иҷрои Linux ва macOS, махсусан дар иҷрокунандагони CI ва ноутбукҳои таҳиягар.

Аз нуқтаи назари функсионалӣ, баста модулӣ аст. Навиштаҳо модулҳоро барои кашфи системаи амалиётӣ, сканҳои махфии системаи файлӣ ва git, дастрасии SDK-и абрӣ, амалиётҳои API GitHub ва муҳаррики паҳнкуниро, ки бастаҳои дигареро, ки нигоҳдоранда дорад, таҳрир мекунад, тавсиф мекунанд. Дар асл, StepSecurity ва ReversingLabs ҳарду функсияеро таъкид мекунанд, ки бастаҳоро бо қалмоқи зараровар ба таври худкор навсозӣ мекунад.

Иҷрои насб дар вақти Шай-Ҳулуд: Чӣ тавр бастаҳои npm кирмро ба кор медароранд

Ҳамла вақте оғоз мешавад, ки postinstall гиреҳро иҷро мекунад bundle.js. Дар ин лаҳза, скрипт ҳолати кориро дар хотира оғоз ва кушода, заминаро барои кори пурраи кирм фароҳам меорад.

Кашф ва ҷамъоварии ҳосил

• Боркунии иловагӣ файли process.env-ро ҷамъ мекунад ва файлҳои маҳаллиро барои асрори дорои энтропияи баланд ва префиксҳои токен скан мекунад. Илова бар ин, он бо иҷро кардани TruffleHog фарогириро васеъ мекунад.
• Он нуқтаҳои ниҳоии метамаълумоти абриро барои ҷамъоварии эътимодномаҳои кӯтоҳмуддат дархост мекунад. Масалан, занг мезанад ба 169.254.169.254 дар AWS ё metadata.google.internal дар GCP аксар вақт дар хостҳои сироятшуда пайдо мешаванд.
• Ҳамин тавр, ҳама гуна эътимодномаи ёфтшуда фавран барои нашри бастаҳои нави npm ё тела додани ҷараёнҳои кории GitHub қобили истифода мегардад.

Эксфилтратсия

• Кирм анбори нави GitHub-ро бо номи ... эҷод мекунад. Шай Хулуд ва рамзгузории дукаратаи base64-ро менависад data.json бо тафсилоти платформа, партовҳои муҳити зист ва асрор. Тавре ки дида мешавад, ин рафтори пурғавғоро ба осонӣ пай бурдан мумкин аст, агар ҳимоятгарон донанд, ки ба куҷо нигоҳ кунанд.
• Он инчунин ҷараёни кории GitHub Actions-ро, ки аксар вақт дар шохае бо номи ... ҷойгир мекунад, ҷойгир мекунад. шай-хулуд, ки силсилабандӣ мекунад ${{ toJSON(secrets) }} ва маълумотро ба вебҳуки статикӣ мефиристад. Ғайр аз ин, ин ҷараёни корӣ то он даме, ки касе онро фаъолона нест кунад, идома меёбад.

Тарғибот

• Бо ҳама гуна токени npm-и ошкоршуда, боркунӣ ҳамаи бастаҳоеро, ки ба нигоҳдорандаи осебдида тааллуқ доранд, номбар мекунад. Сипас, он ҳар як tarball-ро мегирад, bundle.js ва вуруди postinstall-ро ворид мекунад ва бастаро аз нав нашр мекунад.
• Дар натиҷа, даҳҳо бастаҳои сироятёфта метавонанд дар тӯли чанд соат пайдо шаванд ва радиуси таркишро дар тамоми экосистема зиёд кунанд.

Устуворӣ ва таъсиррасонӣ

• Кирм ҷараёнҳои кории зарароварро зинда нигоҳ медорад ва дар якчанд мавридҳо анборҳои хусусиро бо истифода аз a ба таври оммавӣ табдил медиҳад. «- муҳоҷират» пасванд. Дар маҷмӯъ, ин кафолат медиҳад, ки ҳамлагар мавқеи худро нигоҳ медорад ва ихроҷи маълумотро ба ҳадди аксар мерасонад.

Эзоҳи калидии ошкоркунӣ
Ин истифодаи ғайриоддӣ аз ${{ toJSON(secrets) }} Ҷараёнҳои корӣ дар Actions камёбанд. Аз ин рӯ, дастаҳо бояд онро ҳамчун нишондиҳандаи баландсифат ҳангоми шикор баррасӣ кунанд.

Намунаи ҷараёни кории безараргардонидашуда, ки шумо бояд онро ҷустуҷӯ кунед

Ин истифодаи ғайриоддӣ аз ба JSON(сирҳо) дар Амалҳо нишондиҳандаи баландсифат дар ин ҳодиса аст.

Псевдо-коди паҳншавии сатҳи баланд (бехатар, тавсифӣ)