Die Firma Wiz hat die Ergebnisse der Analyse der Aktivitäten des Wurms Shai-Hulud 2 veröffentlicht. Während seiner Aktivität wurden im NPM-Repository schädliche Versionen von über 800 Paketen veröffentlicht, die insgesamt mehr als 100 Millionen Downloads zählten. Nach der Installation des betroffenen Pakets aktiviert sich der Wurm, sucht nach vertraulichen Daten, veröffentlicht neue schädliche Versionen (wenn ein Verbindungstoken zum NPM-Repository entdeckt wird) und stellt die im System gefundenen vertraulichen Daten in offenen Repositories auf GitHub zur Verfügung.
Auf GitHub wurden mehr als 30.000 Repositories mit vom Wurm erfassten Daten entdeckt. In etwa 70 % dieser Repositories befindet sich eine Datei namens content.json, in 50 % eine Datei namens truffleSecrets.json, und in 80 % eine Datei namens environment.json, die Zugriffsschlüssel, vertrauliche Daten und Umgebungsvariablen enthalten, die auf dem System des Entwicklers gefunden wurden, der das schädliche Paket mit dem Wurm installiert hat. Außerdem wurden in diesen Repositories rund 400 Dateien actionsSecrets.json mit Schlüsseln entdeckt, die in Umgebungen für die Ausführung von GitHub Actions gefunden wurden.
In den Dateien contents.json gab es über 500 einzigartige Zugangsdaten und Tokens für die Verbindung zu GitHub. Die Dateien truffleSecrets.json enthielten vertrauliche Daten, die durch das Ausführen des Tools TruffleHog auf dem betroffenen System gefunden wurden, das über 800 Datenarten sammelt, darunter Zugriffsschlüssel, Verschlüsselungsschlüssel, Passwörter und Tokens, die in verschiedenen Diensten, Cloud-Umgebungen, Produkten und Datenbanken verwendet werden. Insgesamt wurden in truffleSecrets.json über 400.000 einzigartige Einträge identifiziert, von denen etwa 2,5 % (~10.000) verifiziert wurden.
Es wird davon ausgegangen, dass die ins öffentliche Sichtfeld gelangten vertraulichen Informationen ein Ausgangspunkt für eine neue Welle von Angriffen darstellen können, da viele Daten weiterhin aktuell sind. Beispielsweise zeigte die Überprüfung, dass 60 % der Zugriffstokens für NPM, die von von einem Wurm befallenen Systemen erlangt wurden, weiterhin gültig sind.
Im Bericht werden auch allgemeine Statistiken präsentiert, die auf der Analyse der Umgebungsvariablen von betroffenen Systemen basieren. 23 % der Wurmstarts traten auf Entwicklercomputern auf, während 77 % in kontinuierlichen Integrationsumgebungen stattfanden (60 % GitHub Actions, 5 % Jenkins, 5 % GitLab CI, 3 % AWS CodeBuild). Auf 87 % der Systeme wurde Linux verwendet, 12 % macOS und 1 % Windows. 76 % der Starts fanden in Containern statt, 13 % in physischen Systemen.
60 % aller Infektionen sind auf die Installation der schadhafteren Versionen der Pakete @postman/tunnel-agent-0.6.7 und @asyncapi/specs-6.8.3 zurückzuführen. In 99 % der Fälle wurde der Wurm durch das Ausführen des Befehls „node setup_bun.js“, wie im package.json in der Sektion preinstall angegeben, aktiviert (die verbleibenden 1 % fallen wahrscheinlich auf Testversuche).
Quelle: opennet.ru
