L'azienda Wiz ha pubblicato i risultati dell'analisi delle tracce dell'attività del worm Shai-Hulud 2, durante la quale sono state pubblicate versioni malevole di oltre 800 pacchetti nel repository NPM, con più di 100 milioni di download complessivi. Dopo l'installazione del pacchetto compromesso, il worm attivato cerca dati riservati, pubblica nuove versioni malevole (in caso di rilevamento di un token di accesso al catalogo NPM) e rende pubblici i dati riservati trovati nel sistema creando nuovi repository su GitHub.
Sono stati rilevati su GitHub oltre 30.000 repository contenenti dati trafugati dal worm. In circa il 70% di questi repository è presente un file content.json, nel 50% un file truffleSecrets.json e nell'80% un file environment.json, contenenti chiavi di accesso, dati riservati e variabili ambientali trovate sul sistema dello sviluppatore che ha installato il pacchetto malevolo con il worm. Sono stati inoltre identificati circa 400 file actionsSecrets.json con chiavi trovate negli ambienti di esecuzione per GitHub Actions.
Nei file contents.json erano presenti oltre 500 credenziali uniche e token per l'accesso a GitHub. I file truffleSecrets.json contenevano dati riservati trovati a seguito dell'esecuzione sulla macchina compromessa dell'applicazione TruffleHog, che raccoglie oltre 800 tipi di dati, tra cui chiavi di accesso, chiavi di crittografia, password e token utilizzati in vari servizi, ambienti cloud, prodotti e database. In totale, in truffleSecrets.json sono stati identificati più di 400.000 record unici, di cui circa il 2,5% (~10.000) sono stati verificati.
Si ritiene che le informazioni riservate rese pubbliche possano diventare un punto di partenza per una nuova ondata di attacchi, poiché molti di questi dati rimangono pertinenti. Ad esempio, la verifica ha mostrato che il 60% dei token di accesso a NPM catturati dai sistemi compromessi dal worm sono ancora attivi.
Il rapporto include anche statistiche generali ottenute dall'analisi delle variabili ambientali dei sistemi compromessi. Il 23% delle esecuzioni del worm si è verificato sui computer degli sviluppatori, mentre il 77% è avvenuto negli ambienti di integrazione continua (60% GitHub Actions, 5% Jenkins, 5% GitLab CI, 3% AWS CodeBuild). Il 87% dei sistemi utilizzava Linux, il 12% macOS e l'1% Windows. Il 76% delle esecuzioni si è svolto in container, il 13% nei sistemi principali.
Il 60% di tutte le infezioni è avvenuto a causa dell'installazione delle versioni malevole dei pacchetti @postman/tunnel-agent-0.6.7 e @asyncapi/specs-6.8.3. Nel 99% dei casi, il worm è stato attivato eseguendo il comando "node setup_bun.js", specificato nel package.json nella sezione preinstall (l'1% rimanente probabilmente riguarda tentativi di test).
Fonte: opennet.ru
