Ierakstīts Izmantojot jauno pašvairojošos tārpu ChainDrop, kas ievada ļaunprogrammatūru atkarībās, tika veikts masveida uzbrukums pakotnēm NPM repozitorijā. Uzbrukuma rezultātā tika izlaistas 2212 ļaunprātīgas versijas 444 pakotnēm. Populārākās no apdraudētajām pakotnēm — keyv, flat-cache un file-entry-cache — tika lejupielādētas attiecīgi 154, 149.9 un 147.6 miljonus reižu nedēļā.
Tārpa ielādētājs tika atrasts failos setup.mjs un Math_Symbol.js, kas tika palaisti, izmantojot pirmsinstalēšanas apstrādātāju ("preinstall": "node setup.mjs"), kas tika izsaukts, instalējot skarto pakotni. Šie skripti lejupielādēja likumīgu Bun izpildlaika un maskētu tārpa kodu 710 KB lielumā. Pēc aktivizēšanas tārps meklēja sistēmas un vides mainīgajos tokenus uz NPM, PyPI, CircleCI, AWS, GCP, Docker, Azure, HashiCorp, KubernetesK8s un citiem pakalpojumiem (tika analizēti vairāk nekā 140 failu ceļi, piemēram, ~/.npmrc), kā arī analizēja atmiņu (izmantojot /proc/). /mem) GitHub darbību vidē tokeniem un akreditācijas datiem.
Ja tika atklāts marķieris savienojuma izveidei ar NPM direktoriju, tārps automātiski publicēja jaunas ļaunprātīgas versijas pakotnēm, kas tika izstrādātas pašreizējā vidē, inficējot atkarību koku. Atšķirībā no iepriekš atklātā tārpa, Šai-Hulud 2.0 ChainDrop ieviesa EtherHiding tehniku, lai saņemtu vadības komandas caur publisko Ethereum blokķēdi, izmantoja šifrēšanu, lai paslēptu uzbrucēja serverim pārsūtītos konfidenciālos datus, un nodrošināja injekciju Claude Code, VS Code un GitHub Copilot konfigurācijas failos, lai nodrošinātu savu klātbūtni sistēmā.
Uzbrukums sākās ar izlaišanas procesa kompromitēšanu, pamatojoties uz GitHub darbībām pakotnei. keyv, kas tiek lejupielādēts 154 miljonus reižu nedēļā un tiek izmantots kā atkarība 1703 pakotnēs. Uzbrucēji izveidoja jaunu versiju — 6.0.0, kurā tika ievietots ļaunprātīgs kods, un publicēja to, izmantojot "Uzticami izdevēji» un pareizi SLSA sertifikācijaPēc publicēšanas tārps inficēja daudzas no keyv atkarīgas pakotnes un pēc tam sāka inficēt netiešās atkarības.
Starp populārākajām pakotnēm, kuras skāra tārps, kas publicēja tām ļaunprātīgas versijas:
- flat-cache 6.1.24 (149.8 miljoni lejupielāžu nedēļā);
- failu ierakstu kešatmiņa 11.1.6 (147.5 miljoni);
- kešatmiņā saglabājams pieprasījums 13.0.20 (33.9 miljoni);
- @cacheable/utils 2.5.1 (8.7 miljoni);
- kešatmiņā saglabājams 2.5.1 (7.8 miljoni);
- @cacheable/memory 2.2.1 (7.1 miljons);
- kešatmiņas pārvaldnieks 7.2.10 (4.2 miljoni);
- @cacheable/node-cache 3.1.2 (1.5 miljoni).
Avots: linux.org.ru
