L'azienda Wiz ha pubblicato i risultati dell'analisi dei tracce dell'attività del worm Shai-Hulud 2, durante la cui attività sono state pubblicate nel repository NPM versioni dannose di oltre 800 pacchetti, con un totale di oltre 100 milioni di download. Dopo l'installazione di un pacchetto infetto, il worm attivato cerca dati riservati, pubblica nuove versioni dannose (in caso di rilevamento di un token di accesso al catalogo NPM) e rende pubblici i dati riservati trovati nel sistema creando nuovi repository su GitHub.
Su GitHub sono stati identificati oltre 30.000 repository contenenti dati intercettati dal worm. In circa il 70% di questi repository era presente un file content.json, nel 50% un file truffleSecrets.json e nell'80% environment.json, contenenti chiavi di accesso, dati riservati e variabili d'ambiente trovati nel sistema del sviluppatore che ha installato il pacchetto dannoso con il worm. Inoltre, in questi repository sono stati trovati circa 400 file actionsSecrets.json con chiavi trovate negli ambienti per l'esecuzione di GitHub Actions.
Nei file contents.json erano presenti oltre 500 credenziali uniche e token per la connessione a GitHub. Nei file truffleSecrets.json erano contenuti dati riservati, raccolti a seguito dell'esecuzione dell'utilità TruffleHog su un sistema compromesso, che raccoglie oltre 800 tipi di dati, tra cui chiavi di accesso, chiavi di crittografia, password e token utilizzati in vari servizi, ambienti cloud, prodotti e sistemi di gestione di database. Complessivamente, in truffleSecrets.json sono state identificate oltre 400.000 voci uniche, delle quali circa il 2,5% (~10.000) sono state verificate.
Si sospetta che le informazioni riservate rese pubbliche possano diventare il punto di partenza per una nuova ondata di attacchi, poiché molti dati rimangono attuali. Ad esempio, i controlli hanno mostrato che il 60% dei token di accesso a NPM, catturati dai sistemi compromessi dal worm, rimangono validi.
Il rapporto include anche statistiche generali ottenute dall'analisi delle variabili d'ambiente dei sistemi compromessi. Il 23% delle esecuzioni del worm si è verificato su computer di sviluppatori, mentre il 77% in ambienti di sistemi di integrazione continua (60% GitHub Actions, 5% Jenkins, 5% GitLab CI, 3% AWS CodeBuild). Il 87% dei sistemi utilizzava Linux, il 12% macOS e l'1% Windows. Il 76% delle esecuzioni si è verificato in contenitori, mentre il 13% nei sistemi principali.
Il 60% di tutte le infezioni è avvenuto a causa dell'installazione di versioni dannose dei pacchetti @postman/tunnel-agent-0.6.7 e @asyncapi/specs-6.8.3. Nel 99% dei casi il worm è stato attivato eseguendo il comando «node setup_bun.js», specificato nel package.json nella sezione preinstall (l'1% restante è probabilmente dovuto a tentativi di testing).
Fonte: opennet.ru
