Анализ на конфиденциални данни, улавяни от червея Shai-Hulud 2

Компания Wiz публикува резултатите от анализа на дейността на червея Shai-Hulud 2, в чийто ход в хранилището NPM бяха пуснати злонамерени версии на над 800 пакета, които общо имат повече от 100 млн. сваляния. След инсталацията на заразения пакет, активираният червей търси конфиденциални данни, публикува нови злонамерени версии (ако открие токен за връзка с директорията NPM) и поставя намерените в системата конфиденциални данни на разположение чрез създаването на нови хранилища в GitHub.

В GitHub бяха открити над 30 хиляди хранилища със съхранени от червея прихванати данни. В около 70% от тези хранилища е наличен файл content.json, в 50% — файл truffleSecrets.json, а в 80% — environment.json, съдържащи ключове за достъп, конфиденциални данни и променливи на средата, намерени в системата на разработчика, инсталирал злонамерения пакет с червея. В тези хранилища също така са открити около 400 файла actionsSecrets.json с ключове, намерени в средите за изпълнение на GitHub Actions.

В файловете contents.json е налична информация за над 500 уникални потребителски имена и токени за връзка с GitHub. В файловете truffleSecrets.json са събрани конфиденциални данни, открити след изпълнение на утилитата TruffleHog на заразената система, която събира над 800 типа данни, сред които ключове за достъп, ключове за криптиране, пароли и токени, използвани в различни услуги, облачни среди, продукти и СУБД. Общо в truffleSecrets.json бяха открити над 400 хиляди уникални записа, от които около 2.5% (~10000) бяха проверени.

Счита се, че публикуваната конфиденциална информация може да стане отправна точка за нова вълна от атаки, тъй като много от данните остават актуални. Например, проверката показа, че 60% от токените за достъп до NPM, прихванати от заразените с червея системи, остават активни.

В доклада е предоставена и обща статистика, получена на базата на анализа на променливите на средата от заразените системи. 23% от стартиранията на червея са станали на компютри на разработчици, а 77% — в средите на системите за непрекъсната интеграция (60% GitHub Actions, 5% — Jenkins, 5% — GitLab CI, 3% — AWS CodeBuild). На 87% от системите е използван Linux, 12% — macOS и 1% — Windows. 76% от стартиранията са били в контейнери, 13% — в основни системи.

60% от всички инфекции са се случили поради инсталирането на злонамерени версии на пакетите @postman/tunnel-agent-0.6.7 и @asyncapi/specs-6.8.3. В 99% от случаите червеят е бил активиран при изпълнението на командата «node setup_bun.js», посочена в package.json в секцията preinstall (останалият 1% вероятно е свързан с опити за тестване).

Източник: opennet.ru