{"id":149530,"date":"2025-11-25T17:11:58","date_gmt":"2025-11-25T15:11:59","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/pri-pomoshhi-chervya-shai-hulud-skomprometirovano-600-npm-paketov"},"modified":"2025-11-25T17:11:58","modified_gmt":"2025-11-25T15:11:59","slug":"pri-pomoshhi-chervya-shai-hulud-skomprometirovano-600-npm-paketov","status":"publish","type":"post","link":"https:\/\/prohoster.info\/it\/blog\/novosti-interneta\/pri-pomoshhi-chervya-shai-hulud-skomprometirovano-600-npm-paketov","title":{"rendered":"Con il verme Shai-Hulud sono stati compromessi 600 pacchetti NPM","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Registrato un secondo attacco ai pacchetti nel repository NPM, condotto utilizzando una modifica del verme auto-replicante Shai-Hulud, che inserisce malware nelle dipendenze. A causa dell'attacco, sono stati pubblicati rilasci dannosi di 605 pacchetti, con oltre 100 milioni di download in totale. <\/p>\n
Per condurre l'attacco, i criminali informatici hanno intercettato tramite phishing le credenziali di accesso del manutentore di uno dei pacchetti pi\u00f9 popolari utilizzati come dipendenza da un gran numero di pacchetti. Sfruttando l'account compromesso, gli aggressori hanno pubblicato un rilascio del pacchetto, nel quale \u00e8 stato inserito codice per attivare il verme all'installazione del pacchetto colpito come dipendenza. Il verme attivato cerca credenziali nell'ambiente corrente, scaricando e avviando l'utilit\u00e0 TruffleHog. <\/p>\n
Se viene rilevato un token di accesso al catalogo NPM, il worm pubblica automaticamente nuove versioni dannose per i pacchetti sviluppati nell'ambiente corrente. In questo modo, viene compromesso l'intero albero delle dipendenze. Oltre al token NPM, il worm mantiene le chiavi di accesso a GitHub e ai servizi cloud AWS, Azure e GCP (Google Cloud Platform), cos\u00ec come le variabili di ambiente e altri dati sensibili che \u00e8 in grado di rilevare lo scanner TruffleHog. <\/p>\n
I dati sensibili trovati nel sistema vengono pubblicati su GitHub creando repository con nomi casuali (ad esempio, «qzx15djl71alh6p80h») e la frase «Sha1-Hulud: The Second Coming» nella descrizione. Inoltre, vengono codificati e visualizzati nei log di GitHub Actions. Nel repository creato viene inserito un file in formato JSON (ad esempio, jsonactionsSecrets.json o contents.json) che contiene una stringa con informazioni codificate in base64 sul sistema, variabili d'ambiente e dati acquisiti. Per trasferire informazioni al di fuori dei sistemi di integrazione continua basati su GitHub, il worm crea un handler di GitHub Actions intitolato «.github\/workflows\/formatter_123456789.yml» e configura un runner con il nome SHA1HULUD. <\/p>\n
Le differenze rispetto a un'attacco simile di settembre riguardano un diverso metodo di inserimento di codice dannoso nel pacchetto. Nei rilasci malevoli creati dal worm viene dichiarata l'implementazione del supporto per la piattaforma JavaScript Bun. Nel file package.json nella sezione «preinstall», che definisce gli script eseguiti prima dell'inizio dell'installazione, viene aggiunto il comando «node setup_bun.js».
<\/center> <\/p>\n
Il file «setup_bun.js» contiene codice per eseguire uno script offuscato «bun_environment.js», che include codice di un worm. Per la sua ulteriore diffusione, il worm ricerca il codice dei pacchetti, modifica il file package.json (aumentando il numero di versione e includendo la chiamata a setup_bun.js), aggiunge i file setup_bun.js e bun_environment.js, rimodella il pacchetto ed esegue il comando «npm publish» per pubblicare una nuova versione. <\/p>\n
![\"Con](\"\/wp-content\/uploads\/2025\/11\/9b6fe1ba9d28fa5432b53d051ad21724.png\")
<\/center> <\/p>\n