Analyse sensibler Daten, die vom Shai-Hulud 2-Wurm erfasst wurden

Wiz hat die Ergebnisse seiner Analyse des Shai-Hulud-2-Wurms veröffentlicht. Dieser hatte über 800 schädliche Pakete mit insgesamt über 100 Millionen Downloads im NPM-Repository veröffentlicht. Nach der Installation eines infizierten Pakets sucht der aktivierte Wurm nach sensiblen Daten, veröffentlicht neue schädliche Versionen (sobald er ein Verbindungstoken zum NPM-Verzeichnis erkennt) und macht die gefundenen sensiblen Daten durch das Erstellen neuer Repositories auf GitHub öffentlich zugänglich.

Auf GitHub wurden über 30 Repositories identifiziert, die vom Wurm abgefangene Daten enthielten. Ungefähr 70 % dieser Repositories enthielten eine content.json-Datei, 50 % eine truffleSecrets.json-Datei und 80 % eine environment.json-Datei. Letztere enthielt Zugriffsschlüssel, sensible Daten und Umgebungsvariablen des Systems des Entwicklers, der das schädliche Paket mit dem Wurm installiert hatte. Diese Repositories enthielten außerdem etwa 400 actionsSecrets.json-Dateien mit Schlüsseln aus GitHub Actions-Ausführungsumgebungen.

Die contents.json-Dateien enthielten über 500 eindeutige Zugangsdaten und Tokens für die Verbindung zu GitHub. Die truffleSecrets.json-Dateien enthielten sensible Daten, die durch Ausführen des Tools TruffleHog auf dem kompromittierten System ermittelt wurden. Dieses Tool erfasst über 800 Datentypen, darunter Zugriffsschlüssel, Verschlüsselungsschlüssel, Passwörter und Tokens, die in verschiedenen Diensten, Cloud-Umgebungen, Produkten und Datenbankmanagementsystemen verwendet werden. Insgesamt wurden über 400 eindeutige Datensätze in truffleSecrets.json gefunden, von denen etwa 2.5 % (~10000) verifiziert wurden.

Es wird befürchtet, dass die durchgesickerten vertraulichen Informationen den Ausgangspunkt für eine neue Angriffswelle bilden könnten, da viele der Daten weiterhin gültig sind. So zeigte beispielsweise eine Überprüfung, dass 60 % der von mit dem Wurm infizierten Systemen erfassten NPM-Zugriffstoken noch gültig sind.

Der Bericht enthält außerdem allgemeine Statistiken, die auf einer Analyse der Umgebungsvariablen der betroffenen Systeme basieren. 23 % der Wurm-Auslösungen erfolgten auf Entwicklerrechnern und 77 % in Continuous-Integration-Umgebungen (60 % GitHub Actions, 5 % Jenkins, 5 % GitLab CI, 3 % AWS CodeBuild). 87 % der verwendeten Systeme Linux, 12 % — macOS und 1% - Windows76 % der Starts erfolgten in Containern, 13 % in Hauptsystemen.

60 % aller Infektionen erfolgten durch die Installation schädlicher Versionen der Pakete @postman/tunnel-agent-0.6.7 und @asyncapi/specs-6.8.3. In 99 % der Fälle wurde der Wurm durch Ausführen des Befehls „node setup_bun.js“ aktiviert, der im Abschnitt „preinstall“ der package.json-Datei angegeben war (die restlichen 1 % resultierten wahrscheinlich aus Testversuchen).

Source: opennet.ru