Bitget App
Trade smarter
Kup kryptoRynkiHandelFuturesEarnCentrumWięcej
Złośliwy robak narusza domeny kryptowalutowe w ataku na łańcuch dostaw

Złośliwy robak narusza domeny kryptowalutowe w ataku na łańcuch dostaw

CryptoSlateCryptoSlate2025/11/25 16:23
Pokaż oryginał
Przez:Gino Matos

24 listopada firma zajmująca się bezpieczeństwem Aikido wykryła drugą falę samoreplikującego się robaka npm Shai-Hulud, który skompromitował 492 paczki o łącznej liczbie 132 milionów pobrań miesięcznie.

Atak uderzył w główne ekosystemy, w tym AsyncAPI, PostHog, Postman, Zapier i ENS, wykorzystując ostatnie tygodnie przed terminem 9 grudnia, kiedy npm wycofa starsze tokeny uwierzytelniające.

Kolejka triage Aikido oznaczyła naruszenie około godziny 3:16 UTC, gdy złośliwe wersje go-template AsyncAPI i 36 powiązanych paczek zaczęły rozprzestrzeniać się w rejestrze.

Atakujący oznaczył repozytoria ze skradzionymi poświadczeniami opisem „Sha1-Hulud: The Second Coming”, utrzymując teatralny branding z kampanii wrześniowej.

Robak instaluje środowisko uruchomieniowe Bun podczas instalacji paczki, a następnie wykonuje złośliwy kod, który przeszukuje środowiska deweloperskie w poszukiwaniu ujawnionych sekretów przy użyciu TruffleHog.

Skompromitowane klucze API, tokeny GitHub i poświadczenia npm są publikowane w losowo nazwanych publicznych repozytoriach, a złośliwe oprogramowanie próbuje się rozprzestrzeniać, wypychając nowe zainfekowane wersje do nawet 100 dodatkowych paczek, co jest pięć razy większą skalą niż atak z września.

Ewolucja techniczna i destrukcyjny ładunek

Listopadowa iteracja wprowadza kilka modyfikacji w stosunku do ataku z września.
Złośliwe oprogramowanie tworzy teraz repozytoria z losowo generowanymi nazwami dla skradzionych danych, zamiast używać zakodowanych na stałe nazw, co utrudnia działania mające na celu ich usunięcie.

Kod instalacyjny instaluje Bun za pomocą setup_bun.js przed wykonaniem głównego ładunku w bun_environment.js, który zawiera logikę robaka i procedury eksfiltracji poświadczeń.

Najbardziej destrukcyjny dodatek: jeśli złośliwe oprogramowanie nie może się uwierzytelnić w GitHub lub npm przy użyciu skradzionych poświadczeń, usuwa wszystkie pliki w katalogu domowym użytkownika.

Analiza Aikido ujawniła błędy wykonania, które ograniczyły rozprzestrzenianie się ataku. Kod pakujący, który kopiuje pełnego robaka do nowych paczek, czasami nie dołącza bun_environment.js, pozostawiając jedynie skrypt instalacyjny Bun bez złośliwego ładunku.

Pomimo tych niepowodzeń, początkowe naruszenia dotknęły cenne cele o ogromnym zasięgu w dół łańcucha.

Paczki AsyncAPI zdominowały pierwszą falę, z 36 skompromitowanymi wydaniami, w tym @asyncapi/cli, @asyncapi/parser i @asyncapi/generator.

PostHog pojawił się o 4:11 UTC, z zainfekowanymi wersjami posthog-js, posthog-node i dziesiątkami wtyczek. Paczki Postman pojawiły się o 5:09 UTC.

Kompromitacja Zapier dotknęła @zapier/zapier-sdk, zapier-platform-cli i zapier-platform-core, podczas gdy kompromitacja ENS dotknęła @ensdomains/ensjs, @ensdomains/ens-contracts i ethereum-ens.

Tworzenie gałęzi GitHub sugeruje dostęp na poziomie repozytorium

Zespół AsyncAPI odkrył złośliwą gałąź w swoim repozytorium CLI utworzoną tuż przed pojawieniem się skompromitowanych paczek na npm.

Gałąź zawierała wdrożoną wersję złośliwego oprogramowania Shai-Hulud, co wskazuje, że atakujący uzyskał dostęp do zapisu w samym repozytorium, a nie tylko przejął tokeny npm.

Ta eskalacja odzwierciedla technikę używaną w oryginalnym kompromisie Nx, w którym atakujący modyfikowali repozytoria źródłowe, aby wstrzyknąć złośliwy kod do legalnych pipeline’ów budowania.

Aikido szacuje, że obecnie 26 300 repozytoriów GitHub zawiera skradzione poświadczenia oznaczone opisem „Sha1-Hulud: The Second Coming”.

Repozytoria zawierają sekrety ujawnione przez środowiska deweloperskie, które uruchomiły skompromitowane paczki, w tym poświadczenia do usług chmurowych, tokeny CI/CD i klucze uwierzytelniające do zewnętrznych API.

Publiczny charakter wycieków potęguje szkody: każdy atakujący monitorujący repozytoria może w czasie rzeczywistym pozyskiwać poświadczenia i przeprowadzać wtórne ataki.

Timing ataku i środki zaradcze

Termin ataku pokrywa się z ogłoszeniem npm z 15 listopada, że 9 grudnia wycofa klasyczne tokeny uwierzytelniające.

Decyzja atakującego o uruchomieniu ostatniej kampanii na dużą skalę przed tym terminem sugeruje, że rozpoznał on, iż okno na kompromitacje oparte na tokenach się zamyka. Oś czasu Aikido pokazuje, że pierwsza fala Shai-Hulud rozpoczęła się 16 września.

„Second Coming” z 24 listopada to ostatnia szansa atakującego na wykorzystanie starszych tokenów przed migracją npm, która odetnie ten dostęp.

Aikido zaleca, aby zespoły ds. bezpieczeństwa przeprowadziły audyt wszystkich zależności z dotkniętych ekosystemów, w szczególności paczek Zapier, ENS, AsyncAPI, PostHog i Postman zainstalowanych lub zaktualizowanych po 24 listopada.

Organizacje powinny wymienić wszystkie sekrety GitHub, npm, chmurowe i CI/CD używane w środowiskach, w których obecne były te paczki, oraz przeszukać GitHub pod kątem repozytoriów z opisem „Sha1-Hulud: The Second Coming”, aby ustalić, czy wewnętrzne poświadczenia zostały ujawnione.

Wyłączenie skryptów postinstall npm w pipeline’ach CI zapobiega przyszłemu wykonywaniu podczas instalacji, a przypinanie wersji paczek za pomocą plików lock ogranicza ekspozycję na nowe skompromitowane wydania.

Post Malicious worm compromises crypto domains in supply-chain attack appeared first on CryptoSlate.

0

Zastrzeżenie: Treść tego artykułu odzwierciedla wyłącznie opinię autora i nie reprezentuje platformy w żadnym charakterze. Niniejszy artykuł nie ma służyć jako punkt odniesienia przy podejmowaniu decyzji inwestycyjnych.

PoolX: Stakuj, aby zarabiać
Nawet ponad 10% APR. Zarabiaj więcej, stakując więcej.
Stakuj teraz!

Może Ci się również spodobać

Rosną szanse na short squeeze bitcoina do 90 000 dolarów, ponieważ stawki finansowania stają się ujemne

Bitcoin ustabilizował się i odbił po spadku z 106 000 USD do 80 600 USD, a rynek dyskutuje, czy został osiągnięty lokalny dołek. Wieloryby oraz inwestorzy detaliczni nadal sprzedają, podczas gdy posiadacze o średniej wielkości akumulują monety. Ujemna stopa finansowania sugeruje możliwość short squeeze. Streszczenie wygenerowane przez Mars AI To streszczenie zostało wygenerowane przez model Mars AI, a jego dokładność i kompletność są wciąż udoskonalane.

MarsBit2025/11/26 03:05
Rosną szanse na short squeeze bitcoina do 90 000 dolarów, ponieważ stawki finansowania stają się ujemne

TGE dziś wieczorem, szybki przegląd projektów ekosystemu wspomnianych przez Monad w pierwszym dniu

Obejmuje rynki predykcyjne, DeFi oraz gry blockchain.

BlockBeats2025/11/26 02:32
TGE dziś wieczorem, szybki przegląd projektów ekosystemu wspomnianych przez Monad w pierwszym dniu

Dogłębna rozmowa z partnerem Sequoia Capital Shaunem: dlaczego Musk zawsze pokonuje swoich rywali?

Shaun nie tylko przewodził kontrowersyjnej inwestycji SpaceX w 2019 roku, ale jest także jednym z nielicznych inwestorów, którzy naprawdę rozumieją sposób działania Elona Muska.

深潮2025/11/26 02:32
Dogłębna rozmowa z partnerem Sequoia Capital Shaunem: dlaczego Musk zawsze pokonuje swoich rywali?

11 milionów kryptowalut zostało skradzionych, ataki fizyczne stają się coraz bardziej powszechnym zagrożeniem

Fałszywy dostawca ukradł w ten weekend kryptowaluty o wartości 11 milionów dolarów, podczas gdy liczba włamań również wzrasta.

深潮2025/11/26 02:31
11 milionów kryptowalut zostało skradzionych, ataki fizyczne stają się coraz bardziej powszechnym zagrożeniem