42 NPM-paketti TanStack on integreeritud isekandv worm

GitHub Actions'i kaudu Redaktori vabanemiste loomise protsessi kompromiteerimise tulemusena õnnestus ründajatel avaldada NPM-i hoidlas 84 pahatahtlikku versiooni, mis katavad 42 NPM-paketti TanStacki stack'ist. Osadele kompromiteeritud pakettidele oli üle 10 miljoni allalaadimise nädalas.

Pöördumine avaldatud väljaannete juurde oli saadud vale konfiguratsiooni tõttu pull_request_target „Pwn Request“ GitHub Actions'is (maski määramine seadetes viis pull_request_target'i käivitamiseni kolmandate osapoolte forkkide jaoks), GitHub Actions'i vahemälu saastamise tõttu forki kaudu ning OIDC-märgendite hankimise võimaluse tõttu käimasoleva runner-protsessi (Runner.Worker) mälust, lugedes sisu /proc//mem.

Pahatahtlikud NPM-paketid avaldati 11. mail ajavahemikus 22:20 kuni 22:26 (MSK), märgati 20 minuti pärast ja blokeeriti poolteise tunni pärast. Iga kahjustatud NPM-paketi kohta avaldati kaks pahatahtlikku versiooni, kuhu oli integreeritud kood mini-shai-hulud-wormi aktiveerimiseks, mis otsis token'ite ja volituste olemasolu praeguses keskkonnas. Kui NPM'i direktorisse ühendamise token leiti, jõudis worm automaatselt avaldada uusi pahatahtlikke versioone praeguses keskkonnas töötavatele pakettidele, mõjutades sõltuvuste puu. Niimoodi oli kahjustatud üle 400 NPM-paketti, mis kasutasid TanStacki pakette sõltuvustena.

Käärmuhv asus failis router_init.js ja aktiveerus pärast nakatatud paketi käsitsi installimist arendaja poolt või automatiseeritult pideva integreerimise keskkonnas käskudega „npm install“, „pnpm install“ või „yarn install“. Pärast aktiveerimist otsis käärmuhv süsteemist NPM-i (~/ .npmrc), AWS, GCP, Azure, HashiCorpi ja KubernetesK8s tokenite ning ka SSH privaatvõtmete järele. Leitud andmed saadeti ründajatele detsentraliseeritud P2P-sõnumiteenuse aadressil getsession.org.

Käärmuhv oli kavandatud käivitama hävitavaid tegevusi juhuks, kui NPM-tokeni saadi tagasi — süsteemis seadistati skripti ~/.local/bin/gh-token-monitor.sh perioodiline käivitamine, mis kontrollis iga 60 sekundi tagant tokeni aktiivsust api.github.com/user'i kaudu ja juhul, kui token oli tagastatud, täitis käsku „rm -rf ~/“.

Allikas: opennet.ru