Шай-Хулуд: Пояснення хробака пакетів npm

Вплив атаки Шай-Хулуда на ланцюжок поставок на керівництво

Shai-Hulud досі активний. Цей черв'як пришвидшує часові рамки впливу. Те, що колись займало тижні у випадку з трояном, тепер розгортається за лічені години. В результаті, поширення відбувається швидше і його важче стримати. Він просувається шляхом:

• Крадіжка токенів публікації npm та секретів GitHub.
• Повторна публікація себе в інших npm-пакетах.
• Додавання шкідливих робочих процесів GitHub Actions для збереження.

Кого це стосується:

Будь-яка команда, яка встановлює публічні npm-пакети, піддається ризику. Більше того, розробники з кешованими npm-токенами або GitHub стикаються з високим ризиком. Також вразливі CI-виконавці, які використовують секрети широкого спектру.

Бізнес ризик

Вплив на бізнес швидко зростає. Викрадені токени можуть призвести до захоплення облікового запису, викрадення пакетів і навіть зловживання хмарою. Крім того, збереження робочих процесів GitHub ускладнює їх очищення. Тому, команди повинні розглядати Шай-Хулуд як триваючий інцидент, а не як закритий.

Як працює атака Shai-Hulud на ланцюг поставок у npm-пакетах

Цілі та мотиви нападника

Кампанія оптимізується для трьох цілей:

• Перша мета полягає в тому, щоб крадіжка облікових даних у великих масштабах з ноутбуків розробників та виконавців непреривчастої інтеграції. Це включає токени публікації npm, токени GitHub та хмарні облікові дані. Фактично, численні аналізи підтверджують систематичний збір секретних даних, такий як запуск TruffleHog та запити кінцевих точок хмарних метаданих.
• Друга мета полягає в тому, щоб поширюватися автоматично зловживаючи правами на публікацію скомпрометованих розробників. В результаті один плацдарм швидко розширюється на багато, оскільки нові заражені версії інших пакетів з'являються без додаткових людських зусиль.
• Третя мета полягає в тому, щоб зберігаються та надійно виходять назовні через інфраструктуру GitHub. Зловмисники створюють публічний репозиторій під назвою «Shai-Hulud» з подвійною базою64 data.json, а також вони розробляють робочий процес, який серіалізує ${{ toJSON(секрети) }} і публікує його на статичному вебхуку.

Ймовірна винагорода включає довготривалий доступ до реєстрів та вихідного коду, швидкий горизонтальний перехід до хмарних облікових записів та можливість подальшого використання ланцюга поставок як зброї. Публічна звітність показує, що приватні репозиторії перетворюються на публічні з... «-міграція» суфікс, що збільшує охоплення даних та імпульс

Усередині корисного навантаження Шай-Хулуд: bundle.js у пакетах npm

Шай-Хулуд постачається як великий, об'єднаний з Webpack та сильно мініфікований Файл JavaScript (bundle.js, приблизно 3–3.7 МБ) що виконується з після встановлення гачок package.jsonОтже, Кожне встановлення автоматично запускає корисне навантаження. Така конструкція приховує ідентифікатори, стискає потік керування та зводить всю логіку в один артефакт, який виконується під час встановлення. Аналітики постійно підтверджують об'єднання Webpack, незвичайний розмір файлу та виконання під час встановлення.

Риси заплутування та антианалізу, які ви побачите у зразках:

• Мінімізований граф модулів з числовими ідентифікаторами модулів, розрідженими коментарями та сплющеним потоком керування. Більше того, Така структура надзвичайно ускладнює ручну перевірку.
• Приховування рядка через шари base64 та помічники побудови. Наприклад, Повторне кодування та декодування base64 зазвичай з'являється навколо процедур вилучення.
• Динамічна диспетчеризація через евал-стиль шаблонів та згенерованих тіл функцій, що дозволяє коду змінювати поведінку під час виконання.
• Фільтрація ОС надавати перевагу виконанню в Linux та macOS, особливо на комп'ютерах з непреривчастою інтеграцією та ноутбуках розробників.

З функціональної точки зору, комплект є модульним. У статтях описано модулі для виявлення ОС, сканування файлової системи та секретних даних git, доступу до хмарного SDK, операцій API GitHub та механізму поширення, який редагує інші пакети, що належать розробнику. Фактично, StepSecurity та ReversingLabs виділяють функцію, яка автоматично оновлює пакети зі шкідливим гачком.

Виконання під час встановлення в Shai-Hulud: Як npm-пакети запускають хробака

Атака починається, коли після встановлення запускає вузол bundle.js. На цьому етапі скрипт ініціалізується та розпаковує робочий стан у пам'яті, готуючи черга до повноцінної роботи.

Відкриття та збір врожаю

• Корисне навантаження створює дамп process.env та сканує локальні файли на наявність секретів з високою ентропією та префіксів токенів. Крім того, воно розширює покриття, запускаючи TruffleHog.
• Він запитує кінцеві точки метаданих хмари для збору короткочасних облікових даних. Так, наприклад, дзвінки на 169.254.169.254 на AWS або metadata.google.internal на GCP часто з'являються у заражених господарів.
• Отже, Будь-які знайдені облікові дані стають негайно доступними для публікації нових npm-пакетів або запуску робочих процесів на GitHub.

ексфільтраціі

• Черв'як створює новий репозиторій GitHub з назвою Шай Хулуд і записує дані з подвійним base64-кодуванням data.json з деталями платформи, дампами середовища та секретами. Як видно, таку шумну поведінку легко помітити, якщо захисники знають, де шукати.
• Він також розміщує робочий процес GitHub Actions, часто на гілці з назвою шай-хулуд, що серіалізує ${{ toJSON(secrets) }} і публікує дані на статичному вебхуку. Крім того, цей робочий процес продовжується, доки хтось активно його не видалить.

Розмноження

• З будь-яким виявленим токеном npm, корисне навантаження перераховує всі пакети, що належать скомпрометованому розробнику. Потім воно отримує кожен tar-архів, вставляє bundle.js та запис postinstall, а потім повторно публікує пакет.
• В результаті, десятки заражених пакетів можуть з'явитися за лічені години, що багаторазово збільшує радіус вибуху по всій екосистемі.

Наполегливість та вплив

• Черв'як підтримує роботу шкідливих робочих процесів і в кількох випадках перетворює приватні репозиторії на публічні за допомогою... «-міграція» суфікс. Загалом це гарантує, що зловмисник збереже свою позицію та максимізує витік даних.

Примітка щодо виявлення ключа
Це незвичайне використання ${{ toJSON(secrets) }} у робочих процесах «Дії» трапляється рідко. Таким чином, Команди повинні розглядати це як індикатор високого сигналу під час полювання.

Очищений шаблон робочого процесу, на який варто звернути увагу

Це незвичайне використання до JSON (секрети) «Дії» є важливим індикатором у цьому інциденті.

Псевдокод поширення високого рівня (безпечний, описовий)