С помощта на червея Shai-Hulud са компрометирани 600 NPM пакета

Регистрирана е втора атака срещу пакети в репозитория NPM, проведена чрез модификация на самораспространяващия се червей Shai-Hulud, който инжектира зловреден софтуер в зависимостите. В резултат на атаката бяха публикувани зловредни версии на 605 пакета, с общо над 100 милиона изтегляния.

За провеждане на атаката, нападателите чрез фишинг са прихванали данните за акаунта на поддръжника на един от популярните пакети, използван като зависимост от много пакети. Използвайки прихванатия акаунт, атакуващите публикуваха версия на пакета, в която беше добавен код за активиране на червея при инсталирането на засегнатия пакет в зависимостите. Запусналият се червей търси данни за логин в текущата среда, изтегляйки и стартирайки инструмента TruffleHog.

В случай на откритие на токен за достъп до NPM каталога, червейът автоматично публикува нови зловредни версии за пакетите, разработвани в текущата среда. По този начин се заразява цялото дърво на зависимостите. Освен NPM токена, червейът запазва ключовете за достъп до GitHub и облачни услуги AWS, Azure и GCP (Google Cloud Platform), както и променливи на средата и други конфиденциални данни, които може да открие скенерът TruffleHog.

Откритите в системата конфиденциални данни се публикуват в GitHub чрез създаване на репозитории с произволни имена (например, «qzx15djl71alh6p80h») и фразата «Sha1-Hulud: The Second Coming» в описанието, а също така в кодирана форма се изходят в логовете на GitHub Actions. В създадения репозиторий се поставя файл в JSON формат (например, jsonactionsSecrets.json или contents.json), в който присъства стринг с кодирана информация за системата, променливи на средата и прихванати данни. За предаване на информация извън системите за непрекъсната интеграция на базата на GitHub, червейът създава GitHub Actions обработчик с име «.github/workflows/formatter_123456789.yml» и настройва runner с име SHA1HULUD.

Разликите от подобна атака през септември са свързани с различен метод за инжектиране на зловреден код в пакета. В създадените от червея зловредни версии се обявява поддръжка на JavaScript платформата Bun. В файла package.json в секцията «preinstall», която определя скриптове, изпълнявани преди началото на инсталацията, се добавя команда «node setup_bun.js».

В файла «setup_bun.js» е наличен код за изпълнение на обфускиран скрипт «bun_environment.js», съдържащ код на червей. За своето по-нататъшно разпространение червеят открива кодови пакети, прави промени в файла package.json (увеличава номера на версията и включва извикването на setup_bun.js), добавя файловете setup_bun.js и bun_environment.js, пренастройва пакета и изпълнява командата «npm publish» за публикуване на новото издание.

Сред компрометираните популярни пакети: @zapier/zapier-sdk (2.8 млн. изтегляния на седмица), @posthog/core (2.8 млн.), posthog-node (1.5 млн.), @asyncapi/specs (1.4 млн.), @postman/tunnel-agent (1.2 млн.). Предполага се, че атаката е започнала с компрометация на пакета @asyncapi/specs.

Източник: opennet.ru