Shai-Hulud: npm paketlari qurtining ta'rifi

Shay-Hulud ta'minot zanjiriga hujumning ijro etuvchi ta'siri

Shai-Hulud bugungi kunda ham faol. Bu qurt ta'sir vaqt jadvalini tezlashtiradi. Ilgari troyan bilan bir necha hafta davom etgan narsa endi soatlab ochiladi. Natijada, tarqalish tezroq va uni ushlab turish qiyinroq. U quyidagilar orqali rivojlanadi:

• npm nashr qilish tokenlari va GitHub sirlarini o'g'irlash.
• O'zini boshqa npm paketlariga qayta nashr etmoqda.
• Doimiylik uchun zararli GitHub Actions ish oqimlarini qo'shish.

Kim ta'sirlangan:

Ommaviy npm paketlarini o'rnatadigan har qanday jamoa xavf ostida. Bundan tashqari, keshlangan npm yoki GitHub tokenlariga ega dasturchilar yuqori xavfga duch kelishadi. Keng ko'lamli sirlardan foydalanadigan CI yuguruvchilari ham zaifdir.

Biznes xavfi

Biznesga ta'siri tez o'sib bormoqda. O'g'irlangan tokenlar hisobni egallab olishga, paketlarni o'g'irlashga va hatto bulutdan noto'g'ri foydalanishga olib kelishi mumkin. Bundan tashqari, GitHub ish oqimlarida saqlanib qolish tozalashni qiyinlashtiradi. Shuning uchun, jamoalar Shay-Huludga yopiq emas, balki davom etayotgan voqea sifatida qarashlari kerak.

Shai-Hulud ta'minot zanjiri hujumi npm paketlarida qanday ishlaydi

Hujumchining maqsadlari va motivlari

Kampaniya uchta narsa uchun optimallashtiradi:

• Birinchi maqsad keng ko'lamli ishonch yorliqlarini o'g'irlash ishlab chiquvchi noutbuklar va CI yuguruvchilaridan. Bunga npm nashr qilish tokenlari, GitHub tokenlari va bulut hisob ma'lumotlari kiradi. Darhaqiqat, bir nechta tahlillar TruffleHog-ni ishga tushirish va bulut metama'lumotlarining so'nggi nuqtalarini so'rash kabi tizimli maxfiy yig'ishni tasdiqlaydi.
• Ikkinchi maqsad avtomatik ravishda tarqalish buzilgan texnik xizmat ko'rsatuvchilarning nashr qilish huquqlarini suiiste'mol qilish orqali. Natijada, bitta tayanch tezda ko'plab paketlarga kengayadi, chunki boshqa paketlarning yangi zararlangan versiyalari qo'shimcha insoniy harakatsiz paydo bo'ladi.
• Uchinchi maqsad ishonchli tarzda saqlanib qoling va eksfiltratsiya qiling GitHub infratuzilmasi orqali. Hujumchilar qo'shaloq bazaga ega bo'lgan "Shai-Hulud" nomli ommaviy omborni yaratadilar64 data.jsonva bundan tashqari, ular ketma-ketlashtiradigan ish oqimini o'rnatadilar ${{ toJSON(sirlar) }} va uni statik veb-hukka joylashtiradi.

Ehtimoliy foyda registrlar va manba kodlariga uzoq muddatli kirish, bulutli hisoblarga tezkor lateral o'tish va ta'minot zanjirini yanada qurollantirish imkoniyatini o'z ichiga oladi. Ommaviy hisobotlar xususiy omborlarning ommaviy axborot vositalariga o'tkazilganligini ko'rsatadi. “-migratsiya” ma'lumotlar ta'sirini va momentumni oshiradigan qo'shimcha

Shay-Hulud yukining ichida: bundle.js npm paketlarida

Shay-Hulud kemalari a sifatida katta, Webpack-paketli va juda miniflangan JavaScript fayli (bundle.js, taxminan 3–3.7 MB) bu a dan boshlab bajaradi postinstall ilmoq paket.jsonNatijada, Har bir o'rnatish avtomatik ravishda foydali yuklamani ishga tushiradi. Ushbu dizayn identifikatorlarni yashiradi, boshqaruv oqimini siqadi va barcha mantiqni o'rnatish paytida bajariladigan bitta artefaktga itaradi. Tahlilchilar doimiy ravishda Webpack paketini, g'ayrioddiy fayl hajmini va o'rnatish vaqtida bajarilishini tasdiqlaydilar.

Namunalarda ko'rishingiz mumkin bo'lgan obfuskatsiya va anti-tahlil xususiyatlari:

• Minimallashtirilgan modul grafigi raqamli modul identifikatorlari, siyrak izohlar va tekislangan boshqaruv oqimi bilan. Bundan tashqari, bu tuzilma qo'lda ko'rib chiqishni juda qiyinlashtiradi.
• Ipni yashirish base64 qatlamlari va qurilish yordamchilari orqali. Masalan, takroriy base64 kodlash va dekodlash odatda eksfiltratsiya protseduralari atrofida paydo bo'ladi.
• Dinamik jo'natish ichidan baholash-uslub naqshlari va yaratilgan funksiya tanalari, shuning uchun kodga ish vaqtida xatti-harakatlarni o'zgartirish imkonini beradi.
• OT filtrlash Linux va macOS ishlashini, ayniqsa CI yuguruvchilari va ishlab chiquvchi noutbuklarida afzal ko'rish.

Funktsional nuqtai nazardan, to'plam modulli. Writeups operatsion tizimni aniqlash, fayl tizimi va git maxfiy skanerlash, bulutli SDKga kirish, GitHub API operatsiyalari va texnik xizmat ko'rsatuvchiga tegishli boshqa paketlarni tahrirlaydigan tarqatish mexanizmi uchun modullarni tavsiflaydi. Aslida, StepSecurity va ReversingLabs ikkalasi ham zararli kanca yordamida paketlarni avtomatik ravishda yangilaydigan funksiyani ta'kidlaydi.

Shai-Huludda o'rnatish vaqtidagi bajarilish: npm paketlari qurtni qanday ishga tushiradi

Hujum qachon boshlanadi postinstall tugunni ishga tushiradi bundle.js. Bu vaqtda skript xotiradagi ish holatini ishga tushiradi va ochadi, bu esa chuvalchangning to'liq ishlashi uchun zamin yaratadi.

Kashfiyot va hosil yig'ish

• Yuklama process.env faylini yuklaydi va yuqori entropiyali sirlar va token prefikslarini aniqlash uchun mahalliy fayllarni skanerlaydi. Bundan tashqari, u TruffleHog-ni ishga tushirish orqali qamrovni kengaytiradi.
• U qisqa muddatli hisob ma'lumotlarini to'plash uchun bulut metama'lumotlarining so'nggi nuqtalarini so'raydi. Masalan, qo'ng'iroqlar 169.254.169.254 AWS da yoki metadata.google.internal GCP da ko'pincha yuqtirilgan xostlarda paydo bo'ladi.
• Shunday qilib, Topilgan har qanday hisob ma'lumotlari darhol yangi npm paketlarini nashr qilish yoki GitHub ish oqimlarini ishga tushirish uchun foydalanishga yaroqli bo'ladi.

Eksfiltratsiya

• Chuvalchang yangi GitHub reposini yaratadi, nomli Shay Hulud va ikki barobar base64-kodlangan yozadi data.json platforma tafsilotlari, atrof-muhit dumplari va sirlar bilan. Ko'rinib turibdiki, agar himoyachilar qayerga qarashni bilsalar, bu shovqinli xatti-harakatni osongina aniqlash mumkin.
• Shuningdek, u ko'pincha nomlangan filialda GitHub Actions ish oqimini o'rnatadi shay-hulud, bu ketma-ketlashtiradi ${{ toJSON(secrets) }} va ma'lumotlarni statik veb-hukka joylashtiradi. Bundan tashqari, bu ish jarayoni kimdir uni faol ravishda olib tashlamaguncha davom etadi.

Targ'ibot

• Har qanday aniqlangan npm tokenida, foydali yuklama buzilgan texnik xizmat ko'rsatuvchiga tegishli barcha paketlarni sanab o'tadi. Keyin u har bir tarballni oladi, bundle.js va postinstall yozuvini kiritadi va paketni qayta nashr etadi.
• Natijada, bir necha soat ichida o'nlab zararlangan paketlar paydo bo'lishi mumkin, bu esa ekotizim bo'ylab portlash radiusini ko'paytiradi.

Qat'iylik va ta'sir qilish

• Chuvalchang zararli ish oqimlarini saqlab qoladi va bir nechta hollarda xususiy omborlarni ommaviy omborlarga o'zgartiradi. “-migratsiya” qo'shimcha. Umuman olganda, bu tajovuzkorning o'z o'rnini saqlab qolishini va ma'lumotlarning oqishini maksimal darajada oshirishini ta'minlaydi.

Kalitni aniqlash eslatmasi
Bu noodatiy foydalanish ${{ toJSON(secrets) }} Actions ish oqimlarida kam uchraydi. Shuning uchun, Jamoalar buni ov paytida yuqori signal ko'rsatkichi sifatida ko'rib chiqishlari kerak.

Siz qidirishingiz kerak bo'lgan tozalangan ish jarayonining namunasi

Bu noodatiy foydalanish uchun JSON(sirlar) in Actions bu hodisada yuqori signalli ko'rsatkichdir.

Yuqori darajadagi tarqalish psevdo-kodi (xavfsiz, tavsifli)