{"id":149530,"date":"2025-11-25T17:11:58","date_gmt":"2025-11-25T15:11:59","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/pri-pomoshhi-chervya-shai-hulud-skomprometirovano-600-npm-paketov"},"modified":"2025-11-25T17:11:58","modified_gmt":"2025-11-25T15:11:59","slug":"pri-pomoshhi-chervya-shai-hulud-skomprometirovano-600-npm-paketov","status":"publish","type":"post","link":"https:\/\/prohoster.info\/nl\/blog\/news\/pri-pomoshhi-chervya-shai-hulud-skomprometirovano-600-npm-paketov","title":{"rendered":"Met de Shai-Hulud-worm zijn 600 NPM-pakketten gecompromitteerd","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Een tweede aanval op pakketten in de NPM-repository is vastgesteld, uitgevoerd met behulp van een gemodificeerde zelfverspreidende Shai-Hulud-worm die kwaadaardige software in afhankelijkheden injecteert. Als gevolg van de aanval zijn er kwaadaardige releases van 605 pakketten gepubliceerd, die in totaal meer dan 100 miljoen downloads bevatten. <\/p>\n
Voor de aanval hebben de aanvallers via phishing de accountgegevens onderschept van de onderhoudsmedewerker van een van de populaire pakketten, dat als afhankelijkheid wordt gebruikt door een groot aantal pakketten. Door gebruik te maken van het onderschepte account publiceerden de aanvallers een release van het pakket, waarin code was toegevoegd voor het activeren van de worm bij de installatie van het aangetaste pakket in de afhankelijkheden. De opgestarte worm zoekt naar inloggegevens in de huidige omgeving, door de TruffleHog-tool te laden en uit te voeren. <\/p>\n
Bij ontdekking van een verbindingstoken voor de NPM-directory publiceert de worm automatisch nieuwe kwaadaardige releases voor pakketten die in de huidige omgeving worden ontwikkeld. Op deze manier wordt de hele afhankelijkheidsboom in ketens besmet. Naast het NPM-token slaat de worm ook toegangssleutels op voor GitHub en cloudservices zoals AWS, Azure en GCP (Google Cloud Platform), evenals omgevingsvariabelen en andere gevoelige gegevens die de TruffleHog-scanner kan \u043e\u0431\u043d\u0430\u0440\u0443\u0436\u0438\u0442\u044c. <\/p>\n
Gegevens van vertrouwelijke aard die in het systeem zijn gevonden, worden op GitHub geplaatst door repositories te maken met chaotische namen (bijvoorbeeld, «qzx15djl71alh6p80h») en de zin «Sha1-Hulud: The Second Coming» in de beschrijving. Ook worden ze gecodeerd weergegeven in de logs van GitHub Actions. In de gemaakte repository staat een bestand in JSON-formaat (bijvoorbeeld, jsonactionsSecrets.json of contents.json), waarin een regel staat met informatie over het systeem, omgevingsvariabelen en vastgelegde gegevens, gecodeerd met de base64-methode. Om informatie naar buiten te brengen vanuit continue integratiesystemen op basis van GitHub, maakt de worm een GitHub Actions-handler aan met de naam «.github\/workflows\/formatter_123456789.yml» en configureert een runner met de naam SHA1HULUD. <\/p>\n
De verschillen met een vergelijkbare aanval in september komen voort uit een andere methode voor het inbrengen van kwaadaardige code in het pakket. In de door de worm gecre\u00eberde kwaadaardige releases wordt een implementatie van de JavaScript-platform Bun aangekondigd. In het bestand package.json wordt in de sectie «preinstall», die de scripts definieert die v\u00f3\u00f3r de installatie worden uitgevoerd, het commando «node setup_bun.js» toegevoegd.
<\/center> <\/p>\n
In het bestand «setup_bun.js» bevindt zich code voor de uitvoering van een obfuscated script «bun_environment.js», dat de code van de worm bevat. Voor verdere verspreiding vindt de worm de codes van pakketten, wijzigt het bestand package.json (verhoogt het versienummer en voegt een aanroep van setup_bun.js toe), voegt de bestanden setup_bun.js en bun_environment.js toe, herschept het pakket en voert het commando «npm publish» uit om een nieuwe release te plaatsen. <\/p>\n
Onder de gecompromitteerde populaire pakketten bevinden zich: @zapier\/zapier-sdk (2,8 miljoen downloads per week), @posthog\/core (2,8 miljoen), posthog-node (1,5 miljoen), @asyncapi\/specs (1,4 miljoen), @postman\/tunnel-agent (1,2 miljoen). Het wordt verondersteld dat de aanval begon met de compromittering van het ondersteunende pakket @asyncapi\/specs. \n Bron: opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"
![\"Met](\"\/wp-content\/uploads\/2025\/11\/9b6fe1ba9d28fa5432b53d051ad21724.png\")
<\/center> <\/p>\n