Shai-Hulud: Sâu máy tính tấn công gói npm được giải thích

Tác động đến giới điều hành của vụ tấn công chuỗi cung ứng Shai-Hulud

Shai-Hulud vẫn đang hoạt động cho đến ngày nay. Loại sâu máy tính này đẩy nhanh tiến độ lây nhiễm. Điều mà trước đây mất hàng tuần với Trojan giờ đây diễn ra chỉ trong vài giờ. Kết quả là, Sự lây lan diễn ra nhanh hơn và khó kiểm soát hơn. Nó tiến triển bằng cách:

• Đánh cắp token xuất bản của npm và secret của GitHub.
• Tự động tái xuất bản vào các gói npm khác.
• Thêm các quy trình GitHub Actions độc hại để duy trì hoạt động.

Ai bị ảnh hưởng:

Bất kỳ nhóm nào cài đặt các gói npm công khai đều có nguy cơ bị tấn công. Hơn nữa, các nhà phát triển sử dụng mã thông báo npm hoặc GitHub được lưu trong bộ nhớ cache cũng đối mặt với rủi ro cao. Các trình chạy CI sử dụng các bí mật có phạm vi rộng cũng dễ bị tổn thương.

Rủi ro kinh doanh

Tác động đến hoạt động kinh doanh ngày càng gia tăng nhanh chóng. Các mã thông báo bị đánh cắp có thể dẫn đến chiếm đoạt tài khoản, chiếm quyền kiểm soát gói phần mềm và thậm chí là lạm dụng dịch vụ đám mây. Ngoài ra, việc chúng tồn tại dai dẳng trong quy trình làm việc của GitHub khiến việc xóa bỏ trở nên khó khăn hơn. Do đó,Các đội phải coi Shai-Hulud là một sự cố đang diễn ra, chứ không phải là một sự cố đã kết thúc.

Cách thức hoạt động của cuộc tấn công chuỗi cung ứng Shai-Hulud trong các gói npm

Mục tiêu và động cơ của kẻ tấn công

Chiến dịch này tối ưu hóa cho ba yếu tố:

• Mục tiêu đầu tiên là đánh cắp thông tin đăng nhập trên quy mô lớn Từ máy tính xách tay của nhà phát triển và các trình chạy CI. Điều này bao gồm mã thông báo xuất bản npm, mã thông báo GitHub và thông tin xác thực đám mây. Trên thực tế, nhiều phân tích xác nhận việc thu thập bí mật một cách có hệ thống, chẳng hạn như chạy TruffleHog và truy vấn các điểm cuối siêu dữ liệu đám mây.
• Mục tiêu thứ hai là tự động lan truyền bằng cách lạm dụng quyền xuất bản của những người duy trì bị xâm phạm. Kết quả là, một điểm xâm nhập nhanh chóng lan rộng thành nhiều điểm khác, vì các phiên bản bị nhiễm mới của các gói phần mềm khác xuất hiện mà không cần thêm nỗ lực của con người.
• Mục tiêu thứ ba là kiên trì và thoát ra ngoài một cách đáng tin cậy Thông qua cơ sở hạ tầng của GitHub, kẻ tấn công tạo một kho lưu trữ công khai có tên “Shai-Hulud” với mã hóa base64 kép. dữ liệu.jsonvà ngoài ra, họ còn thiết lập một quy trình làm việc tuần tự hóa. ${{ toJSON(secrets) }} và gửi nó đến một webhook tĩnh.

Lợi ích tiềm năng bao gồm quyền truy cập lâu dài vào các kho lưu trữ và mã nguồn, khả năng chuyển đổi nhanh chóng sang các tài khoản đám mây và tùy chọn để tiếp tục khai thác chuỗi cung ứng. Các báo cáo công khai cho thấy các kho lưu trữ riêng tư đã được chuyển sang công khai với một số lợi ích nhất định. “-di cư” hậu tố, giúp tăng cường khả năng tiếp cận dữ liệu và động lực.

Bên trong khoang chứa hàng của Shai-Hulud: bó.js trong các gói npm

Tàu Shai-Hulud được vận chuyển như một có kích thước lớn, được đóng gói bằng Webpack và được thu nhỏ tối đa. Tệp JavaScript (bó.js(khoảng 3–3.7 MB) thực thi từ một sau khi cài đặt móc vào package.json. Do đó, Mỗi lần cài đặt đều tự động kích hoạt payload. Thiết kế này che giấu các định danh, nén luồng điều khiển và đẩy tất cả logic vào một artifact duy nhất được thực thi trong quá trình cài đặt. Các nhà phân tích liên tục xác nhận việc đóng gói Webpack, kích thước tệp bất thường và việc thực thi trong quá trình cài đặt.

Các đặc điểm che giấu và chống phân tích mà bạn sẽ thấy trong các mẫu:

• Đồ thị mô-đun thu nhỏ với ID mô-đun dạng số, chú thích ngắn gọn và luồng điều khiển được làm phẳng. Hơn nữa, Cấu trúc này khiến việc xem xét thủ công trở nên vô cùng khó khăn.
• Ẩn chuỗi thông qua các lớp base64 và các công cụ hỗ trợ xây dựng. Ví dụ:, Việc mã hóa và giải mã base64 lặp đi lặp lại thường xuất hiện xung quanh các quy trình đánh cắp dữ liệu.
• Điều phối động thông qua đánh giá- Các mẫu kiểu và thân hàm được tạo tự động, do đó cho phép mã thay đổi hành vi trong thời gian chạy.
• Lọc hệ điều hành Ưu tiên sử dụng Linux và macOS, đặc biệt là trên các máy chủ CI và máy tính xách tay của nhà phát triển.

Về mặt chức năng, bộ sản phẩm này có tính mô-đun. Các bài viết mô tả các mô-đun để phát hiện hệ điều hành, quét hệ thống tập tin và mã bí mật Git, truy cập SDK đám mây, các thao tác API GitHub và một công cụ lan truyền chỉnh sửa các gói khác mà người duy trì sở hữu. Trên thực tế, cả StepSecurity và ReversingLabs đều nhấn mạnh một chức năng tự động cập nhật các gói có chứa mã độc.

Quá trình thực thi khi cài đặt trong Shai-Hulud: Cách các gói npm kích hoạt sâu máy tính

Cuộc tấn công bắt đầu khi postinstall chạy node bó.js. Đến bước này, kịch bản khởi tạo và giải nén trạng thái hoạt động trong bộ nhớ, tạo tiền đề cho hoạt động đầy đủ của sâu máy tính.

Khám phá và thu hoạch

• Payload này trích xuất process.env và quét các tệp cục bộ để tìm các bí mật có độ phức tạp cao và tiền tố token. Ngoài ra, nó mở rộng phạm vi bằng cách chạy TruffleHog.
• Nó truy vấn các điểm cuối siêu dữ liệu đám mây để thu thập thông tin xác thực có thời hạn ngắn. Ví dụ, gọi đến 169.254.169.254 trên AWS hoặc metadata.google.internal Trên GCP, các triệu chứng thường xuất hiện ở các máy chủ bị nhiễm bệnh.
• Do đó, Bất kỳ thông tin xác thực nào được tìm thấy đều có thể sử dụng ngay lập tức để xuất bản các gói npm mới hoặc đẩy các quy trình làm việc lên GitHub.

Lọc

• Con sâu máy tính tạo một kho lưu trữ GitHub mới có tên là Shai Hulud và ghi một chuỗi mã hóa base64 kép data.json Bao gồm thông tin chi tiết về nền tảng, thông tin môi trường và các bí mật. Như có thể thấy, hành vi gây nhiễu này rất dễ phát hiện nếu người bảo vệ biết phải tìm ở đâu.
• Nó cũng thiết lập một quy trình làm việc GitHub Actions, thường là trên một nhánh có tên là shai-hulud, điều đó tuần tự hóa ${{ toJSON(secrets) }} và gửi dữ liệu đến một webhook tĩnh. Hơn nữa, quy trình này sẽ tiếp tục hoạt động cho đến khi ai đó chủ động xóa nó.

Tuyên truyền

• Với bất kỳ token npm nào được tìm thấy, payload sẽ liệt kê tất cả các gói thuộc sở hữu của người duy trì bị xâm nhập. Sau đó, nó tải xuống từng tệp nén tarball, chèn bundle.js và một mục postinstall, rồi xuất bản lại gói đó.
• Kết quả là, hàng chục gói hàng bị nhiễm có thể xuất hiện chỉ trong vài giờ, làm tăng phạm vi ảnh hưởng trên toàn hệ sinh thái.

Sự kiên trì và tiếp xúc

• Con sâu máy tính này duy trì các quy trình làm việc độc hại và, trong một số trường hợp, biến các kho lưu trữ riêng tư thành công khai. “-di cư” hậu tố. Nhìn chung, điều này đảm bảo kẻ tấn công duy trì được chỗ đứng và tối đa hóa việc rò rỉ dữ liệu.

Ghi chú phát hiện khóa
Cách sử dụng bất thường này ${{ toJSON(secrets) }} Điều này hiếm khi xảy ra trong quy trình làm việc của Actions. Vì vậy, Các đội nên coi đó là một tín hiệu quan trọng trong quá trình săn bắn.

Mẫu quy trình làm việc đã được tinh chỉnh mà bạn nên tìm kiếm.

Cách sử dụng bất thường này đến JSON (bí mật) "Trong phần Hành động" là một chỉ báo tín hiệu cao trong sự cố này.

Mã giả mô tả sự lan truyền ở mức độ cao (an toàn, dễ hiểu)