В 42 NPM пакета TanStack е интегриран самораспространяващ се червей

В резултат на компрометиране на процеса по създаване на публикации в базата GitHub Actions в проекта TanStack, нападателят успя да публикува 84 злонамерени версии в репозитория NPM, обхващащи 42 NPM пакета от стека TanStack. Някои от компрометираните пакети имали над 10 милиона изтегляния на седмица.

Достъпът до публикуване на версии беше получен поради неправилна конфигурация на pull_request_target "Pwn Request" в GitHub Actions (заданата маска в настройките доведе до стартиране на pull_request_target за pull-заявки в трети форкове), отравяне на кеша на GitHub Actions чрез форк и възможността за извличане на OIDC токен от паметта на стартиралия runner процес (Runner.Worker) чрез четене на съдържанието на /proc//mem.

NPM пакетите със злонамерени промени бяха публикувани на 11 май от 22:20 до 22:26 (MSK), забелязани след 20 минути и блокирани след час и половина. За всеки от засегнатите NPM пакети бяха издадени две злонамерени версии, в които беше интегриран код за активиране на червея mini-shai-hulud, който търсеше токени и идентификационни данни в текущата среда. В случай на откритие на токен за свързване с NPM репозитория, червейът автоматично публикуваше нови злонамерени версии за разработваните в текущата среда пакети, засягайки дървото на зависимостите. По този начин бяха засегнати над 400 NPM пакета, използващи пакети TanStack в зависимостите.

Червеят беше разположен във файла router_init.js и се активираше при ръчно инсталиране на засегнатия пакет от разработчика или автоматизирано в среда за непрекъсната интеграция с помощта на командите "npm install", "pnpm install" или "yarn install". След активиране, червеят търсеше в системата токени за NPM (~/.npmrc), AWS, GCP, Azure, HashiCorp и KubernetesK8s, както и частни SSH ключове. Намерените данни бяха изпращани на злоумишленици чрез децентрализирания P2P мессенджър getsession.org.

В червея беше предвидено извършване на разрушителни действия в случай на отмяна на прихванатия NPM токен — в системата се конфигурираше периодично стартиране на скрипта ~/.local/bin/gh-token-monitor.sh, който на всеки 60 секунди проверяваше активността на токена чрез повикване към api.github.com/user и в случай на отмяна на токена изпълняваше командата "rm -rf ~/".

Източник: opennet.ru