{"id":149530,"date":"2025-11-25T17:11:58","date_gmt":"2025-11-25T15:11:59","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/pri-pomoshhi-chervya-shai-hulud-skomprometirovano-600-npm-paketov"},"modified":"2025-11-25T17:11:58","modified_gmt":"2025-11-25T15:11:59","slug":"pri-pomoshhi-chervya-shai-hulud-skomprometirovano-600-npm-paketov","status":"publish","type":"post","link":"https:\/\/prohoster.info\/da\/blog\/news\/pri-pomoshhi-chervya-shai-hulud-skomprometirovano-600-npm-paketov","title":{"rendered":"600 NPM-pakker er blevet kompromitteret med ormen Shai-Hulud","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Der er registreret et andet angreb p\u00e5 pakker i NPM-repositoriet, udf\u00f8rt ved hj\u00e6lp af en modificeret selvreproducerende orm kaldet Shai-Hulud, som inds\u00e6tter malware i afh\u00e6ngigheder. Som f\u00f8lge af angrebet er der offentliggjort skadelige udgivelser af 605 pakker, der i alt har over 100 millioner downloads. <\/p>\n
For at udf\u00f8re angrebet har angriberne via phishing opfanget kontooplysningerne fra vedligeholderen af en popul\u00e6r pakke, der bruges som afh\u00e6ngighed af mange andre pakker. Ved at udnytte den opfangede konto har angriberne offentliggjort en udgivelse af pakken, der har f\u00e5et tilf\u00f8jet kode til at aktivere ormen, n\u00e5r en ber\u00f8rt pakke installeres som afh\u00e6ngighed. Den aktiverede orm s\u00f8ger efter legitimationsoplysninger i det nuv\u00e6rende milj\u00f8 ved at downloade og k\u00f8re TruffleHog-v\u00e6rkt\u00f8jet. <\/p>\n
Hvis ormen opdager en NPM-forbindelsestoken, offentligg\u00f8r den automatisk nye skadelige udgivelser for pakker, der udvikles i det nuv\u00e6rende milj\u00f8. P\u00e5 denne m\u00e5de rammes hele afh\u00e6ngighedstr\u00e6et k\u00e6dem\u00e6ssigt. Udover NPM-token gemmer ormen adgangsn\u00f8gler til GitHub og cloud-tjenester som AWS, Azure og GCP (Google Cloud Platform), samt milj\u00f8variabler og andre fortrolige oplysninger, som TruffleHog-scanneren kan opdage. <\/p>\n
De fortrolige oplysninger fundet i systemet uploades til GitHub ved at oprette repositories med tilf\u00e6ldige navne (for eksempel, <qzx15djl71alh6p80h>) og med s\u00e6tningen <Sha1-Hulud: The Second Coming> i beskrivelsen, samt bliver de kodet og udskrevet i logs fra GitHub Actions. I det oprettede repository bliver der placeret en fil i JSON-format (for eksempel jsonactionsSecrets.json eller contents.json), som indeholder en linje med base64-kodede oplysninger om systemet, milj\u00f8variabler og fangede data. For at overf\u00f8re oplysninger til eksterne systemer fra CI-systemer baseret p\u00e5 GitHub, opretter masken en GitHub Actions-handler med navnet <.github\/workflows\/formatter_123456789.yml> og konfigurerer en runner med navnet SHA1HULUD. <\/p>\n
Forskellene fra en lignende septemberangreb er relateret til en anden metode til inds\u00e6ttelse af ondsindet kode i pakken. I de ondsindede udgivelser, der genereres af ormene, h\u00e6vdes det, at der er implementeret st\u00f8tte til JavaScript-platformen Bun. I filen package.json tilf\u00f8jes kommandoen <node setup_bun.js> til sektionen <preinstall>, der definerer scripts, der k\u00f8res f\u00f8r installationen starter.
<\/center> <\/p>\n
I filen <setup_bun.js> findes der kode til at udf\u00f8re det obfuskerede script <bun_environment.js>, som indeholder ormens kode. For at sprede sig yderligere finder ormen koden fra pakkerne, foretager \u00e6ndringer i filen package.json (\u00f8ger versionsnummeret og inkluderer kaldet til setup_bun.js), tilf\u00f8jer filerne setup_bun.js og bun_environment.js, genpakker pakken og udf\u00f8rer kommandoen <npm publish> for at uploade den nye udgivelse. <\/p>\n
![\"600](\"\/wp-content\/uploads\/2025\/11\/9b6fe1ba9d28fa5432b53d051ad21724.png\")
<\/center> <\/p>\n