Shai-Hulud：npm 包蠕蟲詳解

Shai-Hulud供應鏈攻擊事件對高階主管的影響

Shai-Hulud至今仍活躍。這種蠕蟲病毒加快了病毒傳播的速度。以前木馬程序需要數週才能完成的工作，現在只需幾個小時就能完成。因此， 病毒傳播速度更快，更難控制。 它透過以下方式推進：

• 竊取 npm 發布令牌和 GitHub 金鑰。
• 重新發佈到其他 npm 套件中。
• 新增惡意 GitHub Actions 工作流程以實現持久化。

受影響族群：

任何安裝公共 npm 套件的團隊都面臨風險。此外，快取了 npm 或 GitHub 令牌的開發者也面臨高風險。使用廣泛的金鑰的 CI 運行器也容易受到攻擊。

商業風險

業務影響迅速成長。被盜令牌可能導致帳戶被盜、軟體包被劫持，甚至雲端濫用。此外，GitHub 工作流程中的持久性也使得清理工作更加困難。因此各團隊必須將 Shai-Hulud 事件視為正在發生的事件，而不是已經結束的事件。

Shai-Hulud供應鏈攻擊在npm包中的工作原理

攻擊者的目標和動機

此行銷活動主要針對以下三個面向進行最佳化：

• 首要目標是 大規模竊取憑證 從開發者筆記型電腦和持續整合運行器中竊取資訊。這包括 npm 發布令牌、GitHub 令牌和雲端憑證。事實上，多項分析證實了系統性的秘密資訊竊取行為，例如執行 TruffleHog 並查詢雲端元資料端點。
• 第二個目標是 自動傳播 透過濫用受感染維護者的發布權限。結果，一個立足點迅速擴展到多個立足點，因為無需額外人為操作，其他軟體包的新感染版本就會出現。
• 第三個目標是 持續可靠地滲漏 透過 GitHub 基礎設施。攻擊者創建了一個名為「Shai-Hulud」的公共倉庫，該倉庫包含雙重 base64 編碼。 data.json此外，他們還植入了一個序列化工作流程。 ${{ toJSON(secrets) }} 並將其發佈到靜態 webhook。

可能的收益包括長期存取註冊表和原始碼、快速橫向遷移到雲端帳戶，以及進一步利用供應鏈。公開報告顯示，私有程式碼庫已轉為公用程式碼庫。 “-遷移” 後綴可以增加資料曝光度和動量。

Shai-Hulud酬載內部結構： bundle.js 在 npm 套件中

Shai-Hulud 飛船作為 體積龐大，經過 Webpack 打包和高度壓縮 JavaScript文件 (bundle.js（約 3–3.7 MB） 從 安裝後 鉤子 的package.json。 最後, 每次安裝都會自動觸發有效載荷。這種設計隱藏了標識符，壓縮了控制流，並將所有邏輯推入在安裝期間執行的單一工件中。分析人員持續證實了 Webpack 打包、檔案大小異常以及安裝時執行等問題。

你會在樣本中看到混淆和反分析的特徵：

• 最小化模組圖 採用數位模組 ID、稀疏註解和扁平化控制流。, 這種結構使得人工審核極為困難。
• 字串隱藏 透過 base64 層和構造輔助函數。例如, 重複的 base64 編碼和解碼通常出現在資料外洩程式中。
• 動態調度 通過 評估-風格模式和產生的函數體，因此能夠使程式碼在運行時改變行為。
• 作業系統過濾 優先選擇 Linux 和 macOS 系統執行，尤其是在 CI 運行器和開發人員筆記型電腦上。

從功能角度來看，該軟體包是模組化的。 文件描述了用於作業系統發現、檔案系統和 Git 金鑰掃描、雲端 SDK 存取、GitHub API 操作以及用於編輯維護者擁有的其他軟體包的傳播引擎的模組。事實上，StepSecurity 和 ReversingLabs 都重點介紹了一個可以自動更新帶有惡意鉤子的軟體包的功能。

Shai-Hulud 中的安裝時執行：npm 套件如何觸發蠕蟲

攻擊始於 postinstall 運行 node bundle.js. 此時，腳本初始化並在記憶體中解包工作狀態，為蠕蟲的全面運作做好準備。

發現與收穫

• 此有效載荷會轉儲 process.env 文件，並掃描本地文件以查找高熵密鑰和令牌前綴。此外，它還會運行 TruffleHog 來擴展覆蓋範圍。
• 它查詢雲端元資料端點以收集短期憑證。 例如， 呼籲 169.254.169.254 在 AWS 上或 metadata.google.internal GCP 上常出現在受感染的宿主身上。
• 因此， 找到的任何憑證都可以立即用於發布新的 npm 套件或推送 GitHub 工作流程。

滲出

• 蠕蟲創建了一個名為「.」的新GitHub倉庫 夏胡魯德 並寫入一個雙重 base64 編碼的資料。 data.json 包括平台詳情、環境轉儲和密鑰。可以看出，如果防禦者知道從哪裡入手，這種異常行為很容易被發現。
• 它還會部署一個 GitHub Actions 工作流程，通常位於一個名為 `<branch_name>` 的分支上。 沙胡魯德，該序列化 ${{ toJSON(secrets) }} 並將資料發佈到靜態 webhook。此外，此工作流程會持續，直到有人主動將其刪除。

傳播

• 利用任何已發現的 npm 令牌，該攻擊負載會列舉所有由受感染的維護者擁有的軟體包。然後，它會取得每個 tar 包，注入 bundle.js 檔案和一個 postinstall 條目，並重新發布該軟體包。
• 因此，幾個小時內可能會出現數十個受感染的包裹，從而倍增整個生態系統的爆炸半徑。

持續性和暴露

• 該蠕蟲會維持惡意工作流程的運行，並且在某些情況下，也會將私有倉庫變成公共倉庫。 “-遷移” 後綴。總而言之，這確保了攻擊者能夠保持立足點並最大限度地洩露資料。

關鍵檢測筆記
這種不尋常的用法 ${{ toJSON(secrets) }} 在 Actions 工作流程中很少見。 因此， 狩獵隊伍應將其視為高訊號指示器。

你應該尋找的經過最佳化的工作流程模式

這種不尋常的用法 至 JSON（秘密） 在本事件中，「行動」是一個重要的訊號指標。

高階傳播偽代碼（安全、描述性強）