С помощта на червея Shai-Hulud са компрометирани 600 NPM пакета

Забелязана е втора атака на пакети в хранилището NPM, извършвана с помощта на модификация на саморазпостраняващия се червей Shai-Hulud, който внедрява зловреден софтуер в зависимостите. В резултат на атаката са публикувани зловредни версии на 605 пакета, които общо имат над 100 милиона изтегляния.

За провеждане на атаката злонамерените лица с помощта на фишинг са успели да прихванат параметрите на акаунта на администратор на един от популярните пакети, използван като зависимост от много пакети. Възползвайки се от прихванатия акаунт, нападателите публикуваха версия на пакета, в която беше добавен код за активиране на червея при инсталиране на засегнатия пакет в зависимостите. Запуснатият червей търси идентификационни данни в текущата среда, като изтегля и стартира утилитата TruffleHog.

Ако бъде открит токен за свързване с хранилището NPM, червейът автоматично публикува нови зловредни версии за пакетите, разработвани в текущата среда. По този начин всичките зависимости по веригата се заразяват. Освен токена на NPM, червейът запазва ключовете за достъп до GitHub и облачните услуги AWS, Azure и GCP (Google Cloud Platform), както и променливи на средата и други конфиденциални данни, които може да открие скенерът TruffleHog.

Откритите в системата конфиденциални данни се публикуват в GitHub чрез създаване на хранилища с произволни имена (например „qzx15djl71alh6p80h“) и фразата „Sha1-Hulud: The Second Coming“ в описанието, а също така в кодирана форма се извеждат в логовете на GitHub Actions. В създаденото хранилище ще се помести файл в JSON формат (например jsonactionsSecrets.json или contents.json), в който присъства строка с информация за системата, променливите на средата и прихванатите данни, кодирана по метода base64. За предаване на информация извън системите за непрекъсната интеграция на базата на GitHub, червейът създава обработчик на GitHub Actions с името „.github/workflows/formatter_123456789.yml“ и конфигурира runner с името SHA1HULUD.

Разликите от подобната атака през септември се свеждат до различен метод за въвеждане на зловреден код в пакета. В зловредните версии, генерирани от червея, се заявява поддръжка на платформата JavaScript Bun. В файла package.json в секция „preinstall“, определяща скриптовете, които се изпълняват преди началото на инсталацията, се добавя команда „node setup_bun.js“.

В файла „setup_bun.js“ е наличен код за изпълнение на обфускиран скрипт „bun_environment.js“, съдържащ код на червей. За да се разпространи допълнително, червейът намира кодовете на пакетите, прави промени във файла package.json (увеличава номера на версията и включва извикването на setup_bun.js), добавя файловете setup_bun.js и bun_environment.js, преопакова пакета и изпълнява командата „npm publish“ за публикуване на новата версия.

Сред компрометираните популярни пакети: @zapier/zapier-sdk (2.8 млн. сваляния на седмица), @posthog/core (2.8 млн.), posthog-node (1.5 млн.), @asyncapi/specs (1.4 млн.), @postman/tunnel-agent (1.2 млн.). Предполага се, че атаката е започнала с компрометирането на пакет @asyncapi/specs.

Източник: opennet.ru