W wyniku kompromitacji procesu tworzenia wersji opartego na GitHub Actions w projekcie TanStack, atakuj\u0105cy opublikowali w repozytorium NPM 84 z\u0142o\u015bliwe wersje, obejmuj\u0105ce 42 pakiety NPM ze stosu TanStack. Niekt\u00f3re z kompromitowanych pakiet\u00f3w mia\u0142y ponad 10 milion\u00f3w pobra\u0144 tygodniowo. <\/p>\n
Dost\u0119p do publikacji wyda\u0144 uzyskano z powodu niew\u0142a\u015bciwej konfiguracji pull_request_target \u201ePwn Request\u201d w GitHub Actions (okre\u015blenie maski w ustawieniach spowodowa\u0142o uruchomienie pull_request_target dla pull request\u00f3w w zewn\u0119trznych forach), korzystania z pami\u0119ci cachowanej GitHub Actions przez fork oraz mo\u017cliwo\u015bci wyci\u0105gni\u0119cia tokena OIDC z pami\u0119ci uruchomionego procesu runnera (Runner.Worker) poprzez odczyt tre\u015bci \/proc\/\/mem. <\/p>\n
Pakiety NPM ze z\u0142o\u015bliwymi zmianami zosta\u0142y opublikowane 11 maja w godzinach 22:20\u201322:26 (MSK), zauwa\u017cone po 20 minutach i zablokowane po p\u00f3\u0142torej godziny. Dla ka\u017cdego z dotkni\u0119tych pakiet\u00f3w NPM wydano po dwie z\u0142o\u015bliwe wersje, w kt\u00f3re zintegrowano kod aktywuj\u0105cy robaka mini-shai-hulud, kt\u00f3ry przeszukiwa\u0142 tokeny i dane logowania w aktualnym \u015brodowisku. W przypadku wykrycia tokena po\u0142\u0105czenia z katalogiem NPM, robak automatycznie publikowa\u0142 nowe z\u0142o\u015bliwe wersje dla pakiet\u00f3w opracowywanych w danym \u015brodowisku, dotykaj\u0105c drzewa zale\u017cno\u015bci. W ten spos\u00f3b zara\u017cono ponad 400 pakiet\u00f3w NPM, kt\u00f3re wykorzystywa\u0142y pakiety TanStack w\u015br\u00f3d zale\u017cno\u015bci. <\/p>\n
Robak by\u0142 umieszczony w pliku router_init.js i aktywowa\u0142 si\u0119 po r\u0119cznej instalacji zainfekowanego pakietu przez programist\u0119 lub automatycznie w \u015brodowisku ci\u0105g\u0142ej integracji przy pomocy polece\u0144 \u201enpm install\u201d, \u201epnpm install\u201d lub \u201eyarn install\u201d. Po aktywacji robak wykonywa\u0142 poszukiwania token\u00f3w w systemie do NPM (~\/.npmrc), AWS, GCP, Azure, HashiCorp oraz KubernetesK8s, a tak\u017ce kluczy SSH. Znalezione dane by\u0142y przesy\u0142ane do przest\u0119pc\u00f3w za po\u015brednictwem zdecentralizowanego komunikatora P2P getsession.org. <\/p>\n
W robaku przewidziano wykonywanie destrukcyjnych czynno\u015bci w przypadku uniewa\u017cnienia przechwyconego tokena NPM \u2014 w systemie konfigurowano okresowe uruchamianie skryptu ~\/.local\/bin\/gh-token-monitor.sh, kt\u00f3ry co 60 sekund sprawdza\u0142 aktywno\u015b\u0107 tokena poprzez odwo\u0142anie do api.github.com\/user i w przypadku uniewa\u017cnienia tokena wykonywa\u0142 polecenie \u201erm -rf ~\/\u201d. \n \u0179r\u00f3d\u0142o: opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"