Shai-Hulud: npm Paketleri Solucanı Açıklaması

Shai-Hulud Tedarik Zinciri Saldırısının Yöneticiler Üzerindeki Etkisi

Shai-Hulud bugün hala aktif. Bu solucan, etki zaman çizelgesini hızlandırıyor. Eskiden bir truva atıyla haftalar süren süreç, şimdi saatler içinde gerçekleşiyor. Sonuç olarak, Yayılım daha hızlı ve kontrol altına alınması daha zor. İlerlemeyi şu şekilde sağlar:

• npm publish token'larını ve GitHub sırlarını çalmak.
• Kendisini diğer npm paketlerine yeniden yayınlamak.
• Kalıcılık sağlamak amacıyla kötü amaçlı GitHub Actions iş akışları ekleniyor.

Kim etkilendi:

Herkese açık npm paketlerini kuran her ekip risk altındadır. Dahası, önbelleğe alınmış npm veya GitHub belirteçlerine sahip geliştiriciler yüksek risk altındadır. Geniş kapsamlı gizli bilgiler kullanan CI çalıştırıcıları da savunmasızdır.

İş riski

İşletme üzerindeki etkisi hızla artıyor. Çalınan token'lar hesap ele geçirilmesine, paket hırsızlığına ve hatta bulutun kötüye kullanılmasına yol açabilir. Ayrıca, GitHub iş akışlarındaki kalıcılık, temizlemeyi zorlaştırıyor. Bu nedenleTakımlar Shai-Hulud olayını kapanmış bir olay olarak değil, devam eden bir olay olarak ele almalıdır.

npm Paketlerinde Shai-Hulud Tedarik Zinciri Saldırısı Nasıl Çalışır?

Saldırganın hedefleri ve motivasyonu

Kampanya üç şeye odaklanarak optimize edilmiştir:

• İlk amaç, kimlik bilgilerini büyük ölçekte çalmak Geliştirici dizüstü bilgisayarlarından ve CI çalıştırıcılarından elde edilen bilgiler arasında npm yayın belirteçleri, GitHub belirteçleri ve bulut kimlik bilgileri yer alıyor. Aslında, TruffleHog çalıştırmak ve bulut meta veri uç noktalarını sorgulamak gibi birçok analiz, sistematik gizli bilgi toplama faaliyetini doğruluyor.
• İkinci hedef ise şudur: otomatik olarak yaymak Bu durum, ele geçirilmiş geliştiricilerin yayın haklarının kötüye kullanılmasıyla gerçekleşir. Sonuç olarak, diğer paketlerin yeni, virüs bulaşmış sürümleri ek insan çabası olmadan ortaya çıktığı için, bir dayanak noktası hızla birçok dayanağa dönüşür.
• Üçüncü hedef şudur: kalıcı ve güvenilir bir şekilde dışarı sızdırmak GitHub altyapısı üzerinden saldırganlar, çift base64 içeren "Shai-Hulud" adlı herkese açık bir depo oluşturuyor. veri.jsonAyrıca, seri hale getiren bir iş akışı da oluşturuyorlar. ${{ toJSON(secrets) }} ve bunu statik bir webhook'a gönderir.

Muhtemel getiriler arasında kayıt defterlerine ve kaynak koduna uzun süreli erişim, bulut hesaplarına hızlı yatay geçiş ve tedarik zincirini daha da silahlandırma seçeneği yer alıyor. Kamuoyuna yansıyan raporlar, özel depoların halka açık hale getirildiğini gösteriyor. “-göç” Veri görünürlüğünü ve ivmesini artıran sonek

Shai-Hulud Yükünün İçeriği: paket.js npm Paketlerinde

Shai-Hulud gemileri şu şekilde gönderilir: Büyük, Webpack ile paketlenmiş ve yoğun şekilde küçültülmüş JavaScript dosyası (paket.js(yaklaşık 3–3.7 MB) bir yerden yürütülen kurulum sonrası kanca paket.json. Sonuç olarak, Her kurulum, yükü otomatik olarak tetikler. Bu tasarım, tanımlayıcıları gizler, kontrol akışını sıkıştırır ve tüm mantığı kurulum sırasında çalışan tek bir yapıya iter. Analistler, Webpack paketlemesini, alışılmadık dosya boyutunu ve kurulum sırasında yürütmeyi sürekli olarak doğrulamaktadır.

Örneklerde göreceğiniz kafa karıştırıcı ve analiz karşıtı özellikler:

• Küçültülmüş modül grafiği Sayısal modül kimlikleri, seyrek yorumlar ve düzleştirilmiş kontrol akışı ile. Dahası, Bu yapı, manuel incelemeyi son derece zorlaştırıyor.
• Dize gizleme Base64 katmanları ve yapı yardımcıları aracılığıyla. Örneğin, Base64 kodlama ve kod çözme işlemlerinin tekrarlanması genellikle veri sızdırma rutinlerinin etrafında görülür.
• Dinamik sevk içinden değerlendirme-Stil kalıpları ve oluşturulmuş fonksiyon gövdeleri, bu nedenle kodun çalışma zamanında davranışını değiştirmesine olanak tanır.
• İşletim sistemi filtreleme Özellikle CI çalıştırıcılarında ve geliştirici dizüstü bilgisayarlarında Linux ve macOS işletim sistemlerini tercih etmek.

İşlevsel açıdan bakıldığında, bu paket modülerdir. Yazılar, işletim sistemi keşfi, dosya sistemi ve git gizli anahtar taramaları, bulut SDK erişimi, GitHub API işlemleri ve bakımcının sahip olduğu diğer paketleri düzenleyen bir yayılma motoru için modülleri açıklıyor. Aslında, StepSecurity ve ReversingLabs, paketleri otomatik olarak kötü amaçlı kanca ile güncelleyen bir işlevi vurguluyor.

Shai-Hulud'da Kurulum Sırasında Çalıştırma: npm Paketleri Solucanı Nasıl Tetikliyor?

Saldırı şu zamanlarda başlıyor: postinstall, node'u çalıştırır. paket.js. Bu aşamada, komut dosyası bellekteki çalışma durumunu başlatır ve açar, böylece solucanın tam olarak çalışması için zemin hazırlanır.

Keşif ve hasat

• Bu zararlı yazılım, process.env dosyasını görüntüler ve yerel dosyaları yüksek entropili gizli bilgiler ve belirteç önekleri açısından tarar. Ayrıca, TruffleHog'u çalıştırarak kapsamı genişletir.
• Bulut meta veri uç noktalarını sorgulayarak kısa süreli kimlik bilgilerini toplar. Örneğin, çağrıları 169.254.169.254 AWS üzerinde veya metadata.google.internal GCP'de sıklıkla enfekte olmuş konaklarda görülürler.
• Sonuç olarak, Bulunan herhangi bir kimlik bilgisi, yeni npm paketleri yayınlamak veya GitHub iş akışlarını göndermek için anında kullanılabilir hale gelir.

dumping

• Solucan, yeni bir GitHub deposu oluşturuyor. Shai Hulud ve çift base64 kodlu yazıyor data.json Platform detayları, ortam dökümleri ve gizli bilgilerle birlikte. Görüldüğü gibi, savunmacılar nereye bakacaklarını biliyorlarsa bu gürültülü davranışı tespit etmek kolaydır.
• Ayrıca, genellikle "dal" olarak adlandırılan bir dalda GitHub Actions iş akışı da oluşturur. şeyh-huludseri hale getiren ${{ toJSON(secrets) }} ve verileri statik bir webhook'a gönderir. Dahası, bu iş akışı birisi aktif olarak kaldırana kadar devam eder.

Yayılma

• Ele geçirilen herhangi bir npm token'ı ile, zararlı yazılım, ele geçirilen geliştiriciye ait tüm paketleri listeler. Ardından, her bir tarball dosyasını indirir, bundle.js dosyasını ve bir postinstall girdisini ekler ve paketi yeniden yayınlar.
• Sonuç olarak, saatler içinde düzinelerce enfekte paket ortaya çıkabilir ve bu da ekosistem genelindeki etki alanını katlayarak genişletebilir.

Azim ve maruz kalma

• Bu solucan, kötü amaçlı iş akışlarını canlı tutar ve birçok durumda özel depoları herkese açık hale getirir. “-göç” Bu sonek, saldırganın sisteme tutunmasını ve veri sızıntısını en üst düzeye çıkarmasını sağlar.

Anahtar tespit notu
Bu alışılmadık kullanım ${{ toJSON(secrets) }} Actions iş akışlarında bu durum nadirdir. Bu nedenle, Ekipler bunu av sırasında yüksek sinyalli bir gösterge olarak değerlendirmelidir.

Aramanız gereken temizlenmiş iş akışı modeli

Bu alışılmadık kullanım için JSON(sırlar) Bu olayda, "Eylemler" yüksek sinyalli bir göstergedir.

Yüksek seviyeli yayılım sözde kodu (güvenli, açıklayıcı)