Црвот Shai-Hulud компромитирал 600 NPM пакети.

Откриен е втор напад врз пакети во NPM репозиториумот, користејќи модификација на саморазмножувачкиот црв Shai-Hulud кој вметнува малициозен софтвер во зависностите. Нападот резултираше со објавување на малициозни изданија од 605 пакети, заедно со над 100 милиони преземања.

За да го извршат нападот, напаѓачите користеле фишинг за да ги пресретнат акредитивите на одржувачот на сметката на популарен пакет што се користи како зависност за многу други пакети. Користејќи ја киднапираната сметка, напаѓачите објавиле издание на пакет што содржело код што го активирал црвот кога засегнатиот пакет бил инсталиран како зависност. Откако ќе се лансира, црвот ја пребарува моменталната околина за акредитиви, преземајќи ја и стартувајќи ја алатката TruffleHog.

Доколку се открие токен за поврзување во директориумот NPM, црвот автоматски објавува нови злонамерни изданија за пакети развиени во тековната околина. Овој синџир го инфицира целото дрво на зависности. Покрај токенот NPM, црвот складира клучеви за пристап до GitHub и AWS, Azure и GCP (Google Cloud Platform) cloud услуги, како и променливи на околината и други чувствителни податоци што може да ги открие скенерот TruffleHog.

Чувствителните податоци пронајдени во системот се поставуваат на GitHub преку креирање репозиториуми со случајни имиња (на пр., „qzx15djl71alh6p80h“) и фразата „Sha1-Hulud: Второто доаѓање“ во описот. Податоците се исто така шифрирани и се прикажуваат во логовите на GitHub Actions. Креираното репозиториум содржи JSON датотека (на пр., jsonactionsSecrets.json или contents.json) што содржи низа што содржи информации за системот кодирани со base64, променливи на околината и зачувани податоци. За да комуницира информации надворешно од системи за континуирана интеграција базирани на GitHub, црвот креира обработувач на GitHub Actions наречен „.github/workflows/formatter_123456789.yml“ и конфигурира извршувач наречен SHA1HULUD.

Разликите од сличниот септемвриски напад се сведуваат на различен метод за вметнување на малициозен код во пакетот. Малициозните изданија генерирани од црвот тврдат дека ја поддржуваат платформата Bun JavaScript. Командата „node setup_bun.js“ се додава во делот „preinstall“ од датотеката package.json, која ги дефинира скриптите што треба да се извршат пред инсталацијата.

Датотеката „setup_bun.js“ содржи код за извршување на замаглената скрипта „bun_environment.js“, која го содржи кодот на црвот. За да се пропагира, црвот го лоцира кодот на пакетот, ја модифицира датотеката package.json (зголемувајќи го бројот на верзијата и вклучувајќи повик до setup_bun.js), ги додава датотеките setup_bun.js и bun_environment.js, го препакува пакетот и ја извршува командата „npm publish“ за да ја распореди новата верзија.

Компромитираните популарни пакети вклучуваат: @zapier/zapier-sdk (2.8 милиони преземања неделно), @posthog/core (2.8 милиони), posthog-node (1.5 милиони), @asyncapi/specs (1.4 милиони) и @postman/tunnel-agent (1.2 милиони). Се верува дека нападот започнал со компромитирање на одржувачот на пакетот, @asyncapi/specs.

Извор: opennet.ru