{"id":149530,"date":"2025-11-25T17:11:58","date_gmt":"2025-11-25T15:11:59","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/pri-pomoshhi-chervya-shai-hulud-skomprometirovano-600-npm-paketov"},"modified":"2025-11-25T17:11:58","modified_gmt":"2025-11-25T15:11:59","slug":"pri-pomoshhi-chervya-shai-hulud-skomprometirovano-600-npm-paketov","status":"publish","type":"post","link":"https:\/\/prohoster.info\/pl\/blog\/news\/pri-pomoshhi-chervya-shai-hulud-skomprometirovano-600-npm-paketov","title":{"rendered":"Przy pomocy robaka Shai-Hulud skompromitowanych zosta\u0142o 600 pakiet\u00f3w NPM","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Odnotowano drugi atak na pakiety w repozytorium NPM, przeprowadzany z wykorzystaniem modyfikacji samorozprzestrzeniaj\u0105cego si\u0119 robaka Shai-Hulud, kt\u00f3ry wstawia z\u0142o\u015bliwe oprogramowanie do zale\u017cno\u015bci. W wyniku ataku opublikowano z\u0142o\u015bliwe wydania 605 pakiet\u00f3w, kt\u00f3re \u0142\u0105cznie mia\u0142y ponad 100 mln pobra\u0144. <\/p>\n
Aby przeprowadzi\u0107 atak, cyberprzest\u0119pcy za pomoc\u0105 phishingu przechwycili dane logowania do konta osoby odpowiedzialnej za jeden z popularnych pakiet\u00f3w, u\u017cywanego jako zale\u017cno\u015b\u0107 przez wiele pakiet\u00f3w. Wykorzystuj\u0105c przechwycone konto, atakuj\u0105cy opublikowali wydanie pakietu, do kt\u00f3rego dodano kod aktywuj\u0105cy robaka podczas instalacji dotkni\u0119tego pakietu w\u015br\u00f3d zale\u017cno\u015bci. Uruchomiony robak przeszukuje dane logowania w bie\u017c\u0105cym \u015brodowisku, \u015bci\u0105gaj\u0105c i uruchamiaj\u0105c narz\u0119dzie TruffleHog. <\/p>\n
W przypadku wykrycia tokenu dost\u0119pu do katalogu NPM, robak automatycznie publikuje nowe z\u0142o\u015bliwe wydania dla pakiet\u00f3w rozwijanych w bie\u017c\u0105cym \u015brodowisku. W ten spos\u00f3b w \u0142a\u0144cuchu infekowane jest ca\u0142e drzewo zale\u017cno\u015bci. Opr\u00f3cz tokenu NPM robak zachowuje klucze dost\u0119pu do GitHub oraz chmurowych us\u0142ug AWS, Azure i GCP (Google Cloud Platform), a tak\u017ce zmienne \u015brodowiskowe i inne poufne dane, kt\u00f3re potrafi wykry\u0107 skaner TruffleHog. <\/p>\n
Znalezione w systemie dane poufne s\u0105 publikowane na GitHubie poprzez tworzenie repozytori\u00f3w o chaotycznych nazwach (na przyk\u0142ad, «qzx15djl71alh6p80h») oraz frazy «Sha1-Hulud: The Second Coming» w opisie, a tak\u017ce s\u0105 wy\u015bwietlane w zakodowanej postaci w logach GitHub Actions. W utworzonym repozytorium znajduje si\u0119 plik w formacie JSON (na przyk\u0142ad jsonactionsSecrets.json lub contents.json), w kt\u00f3rym obecny jest ci\u0105g z zakodowanymi metod\u0105 base64 informacjami o systemie, zmiennymi \u015brodowiskowymi oraz przechwyconymi danymi. Aby przesy\u0142a\u0107 informacje z system\u00f3w ci\u0105g\u0142ej integracji opartych na GitHubie, robak tworzy handler GitHub Actions o nazwie «.github\/workflows\/formatter_123456789.yml» i konfiguruje runnera o nazwie SHA1HULUD. <\/p>\n
R\u00f3\u017cnice w por\u00f3wnaniu do podobnego ataku we wrze\u015bniu sprowadzaj\u0105 si\u0119 do innej metody wstrzykiwania z\u0142o\u015bliwego kodu do paczki. W tworzonych przez robaka z\u0142o\u015bliwych wydaniach og\u0142asza si\u0119 implementacja wsparcia platformy JavaScript Bun. Do pliku package.json w sekcji «preinstall», definiuj\u0105cej skrypty uruchamiane przed rozpocz\u0119ciem instalacji, dodawana jest komenda «node setup_bun.js».
<\/center> <\/p>\n
W pliku «setup_bun.js» znajduje si\u0119 kod do wykonania obfuskowanego skryptu «bun_environment.js», zawieraj\u0105cego kod robaka. Aby dalej si\u0119 rozprzestrzenia\u0107, robak znajduje kod paczek, wprowadza zmiany w pliku package.json (zwi\u0119ksza numer wersji i dodaje wywo\u0142anie setup_bun.js), dodaje pliki setup_bun.js i bun_environment.js, ponownie pakuje paczk\u0119 i wykonuje komend\u0119 «npm publish» w celu publikacji nowego wydania. <\/p>\n
W\u015br\u00f3d skompromitowanych popularnych pakiet\u00f3w znajduj\u0105 si\u0119: @zapier\/zapier-sdk (2,8 mln pobra\u0144 tygodniowo), @posthog\/core (2,8 mln), posthog-node (1,5 mln), @asyncapi\/specs (1,4 mln), @postman\/tunnel-agent (1,2 mln). Przyjmuje si\u0119, \u017ce atak rozpocz\u0105\u0142 si\u0119 od skompromitowania pakietu @asyncapi\/specs. \n \u0179r\u00f3d\u0142o: opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"
![\"Przy](\"\/wp-content\/uploads\/2025\/11\/9b6fe1ba9d28fa5432b53d051ad21724.png\")
<\/center> <\/p>\n