Złośliwy robak narusza domeny kryptowalutowe w ataku na łańcuch dostaw
24 listopada firma zajmująca się bezpieczeństwem Aikido wykryła drugą falę samoreplikującego się robaka npm Shai-Hulud, który skompromitował 492 paczki o łącznej liczbie 132 milionów pobrań miesięcznie.
Atak uderzył w główne ekosystemy, w tym AsyncAPI, PostHog, Postman, Zapier i ENS, wykorzystując ostatnie tygodnie przed terminem 9 grudnia, kiedy npm wycofa starsze tokeny uwierzytelniające.
Kolejka triage Aikido oznaczyła naruszenie około godziny 3:16 UTC, gdy złośliwe wersje go-template AsyncAPI i 36 powiązanych paczek zaczęły rozprzestrzeniać się w rejestrze.
Atakujący oznaczył repozytoria ze skradzionymi poświadczeniami opisem „Sha1-Hulud: The Second Coming”, utrzymując teatralny branding z kampanii wrześniowej.
Robak instaluje środowisko uruchomieniowe Bun podczas instalacji paczki, a następnie wykonuje złośliwy kod, który przeszukuje środowiska deweloperskie w poszukiwaniu ujawnionych sekretów przy użyciu TruffleHog.
Skompromitowane klucze API, tokeny GitHub i poświadczenia npm są publikowane w losowo nazwanych publicznych repozytoriach, a złośliwe oprogramowanie próbuje się rozprzestrzeniać, wypychając nowe zainfekowane wersje do nawet 100 dodatkowych paczek, co jest pięć razy większą skalą niż atak z września.
Ewolucja techniczna i destrukcyjny ładunek
Listopadowa iteracja wprowadza kilka modyfikacji w stosunku do ataku z września.
Złośliwe oprogramowanie tworzy teraz repozytoria z losowo generowanymi nazwami dla skradzionych danych, zamiast używać zakodowanych na stałe nazw, co utrudnia działania mające na celu ich usunięcie.
Kod instalacyjny instaluje Bun za pomocą setup_bun.js przed wykonaniem głównego ładunku w bun_environment.js, który zawiera logikę robaka i procedury eksfiltracji poświadczeń.
Najbardziej destrukcyjny dodatek: jeśli złośliwe oprogramowanie nie może się uwierzytelnić w GitHub lub npm przy użyciu skradzionych poświadczeń, usuwa wszystkie pliki w katalogu domowym użytkownika.
Analiza Aikido ujawniła błędy wykonania, które ograniczyły rozprzestrzenianie się ataku. Kod pakujący, który kopiuje pełnego robaka do nowych paczek, czasami nie dołącza bun_environment.js, pozostawiając jedynie skrypt instalacyjny Bun bez złośliwego ładunku.
Pomimo tych niepowodzeń, początkowe naruszenia dotknęły cenne cele o ogromnym zasięgu w dół łańcucha.
Paczki AsyncAPI zdominowały pierwszą falę, z 36 skompromitowanymi wydaniami, w tym @asyncapi/cli, @asyncapi/parser i @asyncapi/generator.
PostHog pojawił się o 4:11 UTC, z zainfekowanymi wersjami posthog-js, posthog-node i dziesiątkami wtyczek. Paczki Postman pojawiły się o 5:09 UTC.
Kompromitacja Zapier dotknęła @zapier/zapier-sdk, zapier-platform-cli i zapier-platform-core, podczas gdy kompromitacja ENS dotknęła @ensdomains/ensjs, @ensdomains/ens-contracts i ethereum-ens.
Tworzenie gałęzi GitHub sugeruje dostęp na poziomie repozytorium
Zespół AsyncAPI odkrył złośliwą gałąź w swoim repozytorium CLI utworzoną tuż przed pojawieniem się skompromitowanych paczek na npm.
Gałąź zawierała wdrożoną wersję złośliwego oprogramowania Shai-Hulud, co wskazuje, że atakujący uzyskał dostęp do zapisu w samym repozytorium, a nie tylko przejął tokeny npm.
Ta eskalacja odzwierciedla technikę używaną w oryginalnym kompromisie Nx, w którym atakujący modyfikowali repozytoria źródłowe, aby wstrzyknąć złośliwy kod do legalnych pipeline’ów budowania.
Aikido szacuje, że obecnie 26 300 repozytoriów GitHub zawiera skradzione poświadczenia oznaczone opisem „Sha1-Hulud: The Second Coming”.
Repozytoria zawierają sekrety ujawnione przez środowiska deweloperskie, które uruchomiły skompromitowane paczki, w tym poświadczenia do usług chmurowych, tokeny CI/CD i klucze uwierzytelniające do zewnętrznych API.
Publiczny charakter wycieków potęguje szkody: każdy atakujący monitorujący repozytoria może w czasie rzeczywistym pozyskiwać poświadczenia i przeprowadzać wtórne ataki.
Timing ataku i środki zaradcze
Termin ataku pokrywa się z ogłoszeniem npm z 15 listopada, że 9 grudnia wycofa klasyczne tokeny uwierzytelniające.
Decyzja atakującego o uruchomieniu ostatniej kampanii na dużą skalę przed tym terminem sugeruje, że rozpoznał on, iż okno na kompromitacje oparte na tokenach się zamyka. Oś czasu Aikido pokazuje, że pierwsza fala Shai-Hulud rozpoczęła się 16 września.
„Second Coming” z 24 listopada to ostatnia szansa atakującego na wykorzystanie starszych tokenów przed migracją npm, która odetnie ten dostęp.
Aikido zaleca, aby zespoły ds. bezpieczeństwa przeprowadziły audyt wszystkich zależności z dotkniętych ekosystemów, w szczególności paczek Zapier, ENS, AsyncAPI, PostHog i Postman zainstalowanych lub zaktualizowanych po 24 listopada.
Organizacje powinny wymienić wszystkie sekrety GitHub, npm, chmurowe i CI/CD używane w środowiskach, w których obecne były te paczki, oraz przeszukać GitHub pod kątem repozytoriów z opisem „Sha1-Hulud: The Second Coming”, aby ustalić, czy wewnętrzne poświadczenia zostały ujawnione.
Wyłączenie skryptów postinstall npm w pipeline’ach CI zapobiega przyszłemu wykonywaniu podczas instalacji, a przypinanie wersji paczek za pomocą plików lock ogranicza ekspozycję na nowe skompromitowane wydania.
Post Malicious worm compromises crypto domains in supply-chain attack appeared first on CryptoSlate.
Zastrzeżenie: Treść tego artykułu odzwierciedla wyłącznie opinię autora i nie reprezentuje platformy w żadnym charakterze. Niniejszy artykuł nie ma służyć jako punkt odniesienia przy podejmowaniu decyzji inwestycyjnych.
Może Ci się również spodobać
Rosną szanse na short squeeze bitcoina do 90 000 dolarów, ponieważ stawki finansowania stają się ujemne
Bitcoin ustabilizował się i odbił po spadku z 106 000 USD do 80 600 USD, a rynek dyskutuje, czy został osiągnięty lokalny dołek. Wieloryby oraz inwestorzy detaliczni nadal sprzedają, podczas gdy posiadacze o średniej wielkości akumulują monety. Ujemna stopa finansowania sugeruje możliwość short squeeze. Streszczenie wygenerowane przez Mars AI To streszczenie zostało wygenerowane przez model Mars AI, a jego dokładność i kompletność są wciąż udoskonalane.

TGE dziś wieczorem, szybki przegląd projektów ekosystemu wspomnianych przez Monad w pierwszym dniu
Obejmuje rynki predykcyjne, DeFi oraz gry blockchain.

Dogłębna rozmowa z partnerem Sequoia Capital Shaunem: dlaczego Musk zawsze pokonuje swoich rywali?
Shaun nie tylko przewodził kontrowersyjnej inwestycji SpaceX w 2019 roku, ale jest także jednym z nielicznych inwestorów, którzy naprawdę rozumieją sposób działania Elona Muska.

11 milionów kryptowalut zostało skradzionych, ataki fizyczne stają się coraz bardziej powszechnym zagrożeniem
Fałszywy dostawca ukradł w ten weekend kryptowaluty o wartości 11 milionów dolarów, podczas gdy liczba włamań również wzrasta.

