{"id":149530,"date":"2025-11-25T17:11:58","date_gmt":"2025-11-25T15:11:59","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/pri-pomoshhi-chervya-shai-hulud-skomprometirovano-600-npm-paketov"},"modified":"2025-11-25T17:11:58","modified_gmt":"2025-11-25T15:11:59","slug":"pri-pomoshhi-chervya-shai-hulud-skomprometirovano-600-npm-paketov","status":"publish","type":"post","link":"https:\/\/prohoster.info\/sv\/blog\/news\/pri-pomoshhi-chervya-shai-hulud-skomprometirovano-600-npm-paketov","title":{"rendered":"600 NPM-paket har blivit komprometterade genom masken Shai-Hulud.","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Den andra attacken mot paketen i NPM-repositoriet har dokumenterats, genomf\u00f6rd med hj\u00e4lp av en modifierad sj\u00e4lvspridande mask, Shai-Hulud, som infogar skadlig kod i beroenden. Som ett resultat av attacken publicerades skadliga versioner av 605 paket, som tillsammans har \u00f6ver 100 miljoner nedladdningar. <\/p>\n
F\u00f6r att genomf\u00f6ra attacken f\u00e5ngade f\u00f6r\u00f6varna phishade inloggningsuppgifter till kontot f\u00f6r underh\u00e5llaren av ett av de popul\u00e4ra paketen som anv\u00e4nds som beroende av ett stort antal paket. Genom att utnyttja det stulna kontot publicerade angriparna en version av paketet som hade kod f\u00f6r att aktivera masken vid installationen av det drabbade paketet bland beroendena. Den aktiverade masken letar efter inloggningsuppgifter i den aktuella milj\u00f6n och laddar ner samt k\u00f6r verktyget TruffleHog. <\/p>\n
Om en kopplingstoken till NPM-katalogen uppt\u00e4cks publicerar masken automatiskt nya skadliga versioner av paket som utvecklas i den aktuella milj\u00f6n. P\u00e5 s\u00e5 s\u00e4tt p\u00e5verkas hela beroendettr\u00e4det. F\u00f6rutom NPM-token lagrar masken \u00e5tkomstnycklar till GitHub och molntj\u00e4nster som AWS, Azure och GCP (Google Cloud Platform), samt milj\u00f6variabler och andra konfidentiella data som TruffleHog-skannern kan uppt\u00e4cka. <\/p>\n
Konfidentiella uppgifter som har hittats i systemet publiceras p\u00e5 GitHub genom att skapa repositories med slumpm\u00e4ssiga namn (till exempel, <qzx15djl71alh6p80h>) och frasen <Sha1-Hulud: The Second Coming> i beskrivningen, samt i kodad form visas i loggar fr\u00e5n GitHub Actions. I det skapade repositoryt placeras en fil i JSON-format (till exempel jsonactionsSecrets.json eller contents.json), d\u00e4r det finns en str\u00e4ng med information om systemet, milj\u00f6variabler och f\u00e5ngade data som \u00e4r kodad med base64. F\u00f6r att \u00f6verf\u00f6ra information utanf\u00f6r kontinuerlig integration baserad p\u00e5 GitHub skapar masken en GitHub Actions-handler med namnet <.github\/workflows\/formatter_123456789.yml> och konfigurerar en runner med namnet SHA1HULUD. <\/p>\n
Skillnaderna fr\u00e5n den liknande septemberattacken beror p\u00e5 en annan metod f\u00f6r att infoga skadlig kod i paketet. I de skadliga versionerna som genereras av masken deklareras implementeringen av st\u00f6d f\u00f6r JavaScript-plattformen Bun. I filen package.json l\u00e4ggs en kommando <node setup_bun.js> till i sektionen <preinstall>, vilken definierar skripten som k\u00f6rs innan installationen p\u00e5b\u00f6rjas.
<\/center> <\/p>\n
I filen <setup_bun.js> finns kod f\u00f6r att k\u00f6ra ett obfuskerat skript <bun_environment.js>, som inneh\u00e5ller maskens kod. F\u00f6r sin fortsatta spridning hittar masken kod fr\u00e5n paketen, g\u00f6r \u00e4ndringar i filen package.json (\u00f6kar versionsnumret och inkluderar anropet till setup_bun.js), l\u00e4gger till filerna setup_bun.js och bun_environment.js, ompaketerar paketet och k\u00f6r kommandot <npm publish> f\u00f6r att publicera den nya versionen. <\/p>\n
![\"600](\"\/wp-content\/uploads\/2025\/11\/9b6fe1ba9d28fa5432b53d051ad21724.png\")
<\/center> <\/p>\n