Shai-Hulud: Npm پیکجز کیڑے کی وضاحت

شائی ہولد سپلائی چین حملے کا ایگزیکٹو اثر

شائی الحلد آج بھی فعال ہے۔ یہ کیڑا اثر کی ٹائم لائن کو تیز کرتا ہے۔ جو کبھی ٹروجن کے ساتھ ہفتوں میں لگتا تھا وہ اب گھنٹوں میں کھل جاتا ہے۔ نتیجے کے طور پر، پھیلاؤ تیز اور اس پر قابو پانا مشکل ہے۔ یہ آگے بڑھتا ہے:

• npm شائع ٹوکن اور GitHub راز چوری.
• خود کو دوسرے npm پیکجوں میں دوبارہ شائع کرنا۔
• استقامت کے لیے بدنیتی پر مبنی GitHub ایکشن ورک فلو شامل کرنا۔

کون متاثر ہوتا ہے:

کوئی بھی ٹیم جو عوامی این پی ایم پیکجز کو انسٹال کرتی ہے اس کو بے نقاب کیا جاتا ہے۔ مزید برآں، کیشڈ npm یا GitHub ٹوکن والے ڈویلپرز کو زیادہ خطرے کا سامنا ہے۔ CI رنرز جو وسیع دائرہ کار کے راز استعمال کرتے ہیں وہ بھی کمزور ہیں۔

کاروبار کا خطرہ

کاروبار کا اثر تیزی سے بڑھتا ہے۔ چوری شدہ ٹوکن اکاؤنٹ ٹیک اوور، پیکج ہائی جیکنگ، اور یہاں تک کہ کلاؤڈ کے غلط استعمال کا باعث بن سکتے ہیں۔ اس کے علاوہ، GitHub ورک فلوز میں استقامت اسے صاف کرنا مشکل بنا دیتی ہے۔ اس لیےٹیموں کو شائی الحلد کو ایک جاری واقعہ سمجھنا چاہیے، بند نہیں

این پی ایم پیکجز میں شائی-ہولد سپلائی چین اٹیک کیسے کام کرتا ہے۔

حملہ آور کے مقاصد اور محرکات

مہم تین چیزوں کے لیے بہتر بناتی ہے:

• پہلا مقصد یہ ہے۔ پیمانے پر اسناد چوری ڈویلپر لیپ ٹاپ اور CI رنرز سے۔ اس میں npm پبلش ٹوکنز، GitHub ٹوکنز، اور کلاؤڈ اسناد شامل ہیں۔ درحقیقت، متعدد تجزیے منظم خفیہ کٹائی کی تصدیق کرتے ہیں، جیسے TruffleHog کو چلانا اور کلاؤڈ میٹا ڈیٹا کے اختتامی پوائنٹس سے استفسار کرنا۔
• دوسرا مقصد یہ ہے۔ خود بخود پھیلاؤ سمجھوتہ کرنے والے مینٹینرز کے اشاعتی حقوق کا غلط استعمال کرتے ہوئے نتیجے کے طور پر، ایک قدم تیزی سے پھیلتا ہے، کیونکہ دوسرے پیکجوں کے نئے متاثرہ ورژن بغیر کسی اضافی انسانی کوشش کے ظاہر ہوتے ہیں۔
• تیسرا مقصد ہے۔ برقرار رہیں اور قابل اعتماد طریقے سے نکالیں۔ GitHub انفراسٹرکچر کے ذریعے۔ حملہ آور ڈبل بیس 64 کے ساتھ ایک عوامی ریپو بناتے ہیں جس کا نام "شائ الحلود" ہے۔ data.json، اور اس کے علاوہ وہ ایک ورک فلو لگاتے ہیں جو سیریلائز کرتا ہے۔ ${{ toJSON(راز) }} اور اسے جامد ویب ہک پر پوسٹ کرتا ہے۔

ممکنہ ادائیگی میں رجسٹریوں اور سورس کوڈ تک طویل المدت رسائی، کلاؤڈ اکاؤنٹس میں تیز رفتار حرکت، اور سپلائی چین کو مزید ہتھیار بنانے کا اختیار شامل ہے۔ عوامی رپورٹنگ سے پتہ چلتا ہے کہ نجی ریپوز a کے ساتھ عوام کے سامنے پلٹ گئے ہیں۔ "ہجرت" لاحقہ، جو ڈیٹا کی نمائش اور رفتار کو بڑھاتا ہے۔

شائی ہولد پے لوڈ کے اندر: bundle.js این پی ایم پیکجز میں

Shai-Hulud بحری جہاز بطور a بڑا، ویب پیک بنڈل اور بہت زیادہ چھوٹا جاوا اسکرپٹ فائل (bundle.js، تقریباً 3–3.7 MB) جو ایک سے انجام دیتا ہے۔ پوسٹ انسٹال میں ہک package.json. نتیجتاً, ہر انسٹال پے لوڈ کو خود بخود متحرک کرتا ہے۔ یہ ڈیزائن شناخت کنندگان کو چھپاتا ہے، کنٹرول کے بہاؤ کو دباتا ہے، اور تمام منطق کو ایک ہی نمونے میں دھکیلتا ہے جو انسٹالیشن کے دوران عمل میں آتا ہے۔ تجزیہ کار مسلسل ویب پیک بنڈلنگ، فائل کے غیر معمولی سائز، اور انسٹال ٹائم ایگزیکیوشن کی تصدیق کرتے ہیں۔

مبہم اور مخالف تجزیہ خصوصیات جو آپ نمونوں میں دیکھیں گے:

• چھوٹا ماڈیول گراف عددی ماڈیول IDs، ویرل تبصرے، اور چپٹا کنٹرول بہاؤ کے ساتھ۔ مزید یہ کہ, یہ ڈھانچہ دستی جائزہ کو انتہائی مشکل بنا دیتا ہے۔
• سٹرنگ چھپا رہی ہے۔ بیس 64 پرتوں اور تعمیراتی مددگار کے ذریعے۔ مثال کے طور پر, بار بار بیس 64 انکوڈنگ اور ڈی کوڈنگ عام طور پر اخراج کے معمولات کے آس پاس ظاہر ہوتی ہے۔
• متحرک ترسیل کے ذریعے evalطرز کے پیٹرن اور جنریٹڈ فنکشن باڈیز، اس لیے کوڈ کو رن ٹائم پر رویے کو تبدیل کرنے کے قابل بناتا ہے۔
• OS فلٹرنگ خاص طور پر CI رنرز اور ڈویلپر لیپ ٹاپس پر Linux اور macOS کے عمل کو ترجیح دینے کے لیے۔

ایک فعال زاویہ سے، بنڈل ماڈیولر ہے. رائٹ اپ OS کی دریافت، فائل سسٹم اور گٹ سیکریٹ اسکینز، کلاؤڈ SDK تک رسائی، GitHub API آپریشنز، اور ایک پروپیگیشن انجن کے ماڈیولز کی وضاحت کرتے ہیں جو دیکھ بھال کرنے والے کے پاس موجود دیگر پیکجوں میں ترمیم کرتا ہے۔ درحقیقت، StepSecurity اور ReversingLabs دونوں ایک ایسے فنکشن کو نمایاں کرتے ہیں جو خود بخود پیکجوں کو نقصان دہ ہک کے ساتھ اپ ڈیٹ کرتا ہے۔

شائ الحلد میں انسٹال ٹائم ایگزیکیوشن: این پی ایم پیکجز کیسے کیڑے کو متحرک کرتے ہیں

حملہ تب شروع ہوتا ہے۔ پوسٹ انسٹال رنز نوڈ bundle.js. اس مقام پر، اسکرپٹ کام کرنے والی حالت کو میموری میں شروع کرتا ہے اور کھولتا ہے، کیڑے کے مکمل آپریشن کے لیے مرحلہ طے کرتا ہے۔

دریافت اور کٹائی

• پے لوڈ process.env کو ڈمپ کرتا ہے اور مقامی فائلوں کو ہائی اینٹروپی رازوں اور ٹوکن پریفکس کے لیے اسکین کرتا ہے۔ اس کے علاوہ، یہ TruffleHog چلا کر کوریج کو بڑھاتا ہے۔
• یہ قلیل المدتی اسناد جمع کرنے کے لیے کلاؤڈ میٹا ڈیٹا اینڈ پوائنٹس سے استفسار کرتا ہے۔ مثال کے طور پر، کو کال کرتا ہے۔ 169.254.169.254 AWS پر یا metadata.google.internal GCP پر اکثر متاثرہ میزبانوں میں ظاہر ہوتے ہیں۔
• اس کے نتیجے میں، کوئی بھی اسناد نئے npm پیکجز شائع کرنے یا GitHub ورک فلوز کو آگے بڑھانے کے لیے فوری طور پر قابل استعمال ہو جاتی ہے۔

جلاوطنی

• کیڑا ایک نیا GitHub ریپو بناتا ہے۔ شائ حلود اور ایک ڈبل بیس 64-انکوڈ لکھتا ہے۔ data.json پلیٹ فارم کی تفصیلات، ماحولیاتی ڈمپ اور راز کے ساتھ۔ جیسا کہ دیکھا جا سکتا ہے، اس شور مچانے والے رویے کو دیکھنا آسان ہے اگر محافظ جانتے ہیں کہ کہاں دیکھنا ہے۔
• یہ ایک GitHub ایکشن ورک فلو بھی لگاتا ہے، اکثر نام کی شاخ پر shai-Hulud، جو سیریلائز کرتا ہے۔ ${{ toJSON(secrets) }} اور ڈیٹا کو جامد ویب ہک پر پوسٹ کرتا ہے۔ مزید برآں، یہ ورک فلو برقرار رہتا ہے جب تک کہ کوئی اسے فعال طور پر ہٹا نہیں دیتا۔

تبلیغ

• کسی بھی دریافت شدہ npm ٹوکن کے ساتھ، پے لوڈ سمجھوتہ کرنے والے مینٹینر کی ملکیت والے تمام پیکجوں کو شمار کرتا ہے۔ پھر، یہ ہر ٹربال کو لاتا ہے، bundle.js اور پوسٹ انسٹال انٹری کو انجیکشن کرتا ہے، اور پیکیج کو دوبارہ شائع کرتا ہے۔
• نتیجے کے طور پر، درجنوں متاثرہ پیکجز چند گھنٹوں کے اندر ظاہر ہو سکتے ہیں، جو پورے ماحولیاتی نظام میں دھماکے کے رداس کو بڑھا دیتے ہیں۔

استقامت اور نمائش

• یہ کیڑا بدنیتی پر مبنی کام کے بہاؤ کو زندہ رکھتا ہے اور، کئی صورتوں میں، پرائیویٹ ریپوز کو عوام کے لیے "ہجرت" لاحقہ مجموعی طور پر، یہ یقینی بناتا ہے کہ حملہ آور اپنے قدموں کو برقرار رکھتا ہے اور ڈیٹا کے رساو کو زیادہ سے زیادہ کرتا ہے۔

کلیدی پتہ لگانے والا نوٹ
کا یہ غیر معمولی استعمال ${{ toJSON(secrets) }} ایکشن میں ورک فلو نایاب ہے۔ لہذا، ٹیموں کو شکار کے دوران اسے ایک اعلی سگنل کے اشارے کے طور پر سمجھنا چاہئے۔

سینیٹائزڈ ورک فلو پیٹرن جس کی آپ کو تلاش کرنی چاہیے۔

کا یہ غیر معمولی استعمال کرنے کے لئے JSON(راز) ان ایکشنز اس واقعے میں ایک اعلیٰ اشارہ ہے۔

اعلی درجے کی تبلیغ سیڈو کوڈ (محفوظ، وضاحتی)