Un worm dannoso compromette i domini crypto in un attacco alla supply chain

Il 24 novembre, la società di sicurezza Aikido ha rilevato una seconda ondata del worm auto-replicante Shai-Hulud su npm, compromettendo 492 pacchetti con un totale combinato di 132 milioni di download mensili.

L’attacco ha colpito i principali ecosistemi, tra cui AsyncAPI, PostHog, Postman, Zapier ed ENS, sfruttando le ultime settimane prima della scadenza del 9 dicembre di npm per la revoca dei token di autenticazione legacy.

La coda di triage di Aikido ha segnalato l’intrusione intorno alle 3:16 AM UTC, quando versioni malevole di go-template di AsyncAPI e 36 pacchetti correlati hanno iniziato a diffondersi nel registro.

L’attaccante ha etichettato i repository di credenziali rubate con la descrizione “Sha1-Hulud: The Second Coming”, mantenendo il marchio teatrale della campagna di settembre.

Il worm installa il runtime Bun durante la configurazione del pacchetto, quindi esegue codice malevolo che cerca segreti esposti negli ambienti degli sviluppatori utilizzando TruffleHog.

Le chiavi API compromesse, i token GitHub e le credenziali npm vengono pubblicati su repository pubblici con nomi casuali, e il malware tenta di propagarsi pubblicando nuove versioni infette su fino a 100 pacchetti aggiuntivi, cinque volte la portata dell’attacco di settembre.

Evoluzione tecnica e payload distruttivo

L’iterazione di novembre introduce diverse modifiche rispetto all’attacco di settembre.
Il malware ora crea repository con nomi generati casualmente per i dati rubati invece di usare nomi codificati, complicando gli sforzi di rimozione.

Il codice di setup installa Bun tramite setup_bun.js prima di eseguire il payload principale in bun_environment.js, che contiene la logica del worm e le routine di esfiltrazione delle credenziali.

L’aggiunta più distruttiva: se il malware non riesce ad autenticarsi con GitHub o npm utilizzando le credenziali rubate, cancella tutti i file nella directory home dell’utente.

L’analisi di Aikido ha rivelato errori di esecuzione che hanno limitato la diffusione dell’attacco. Il codice di bundling che copia l’intero worm nei nuovi pacchetti a volte non include bun_environment.js, lasciando solo lo script di installazione di Bun senza il payload malevolo.

Nonostante questi fallimenti, le compromissioni iniziali hanno colpito obiettivi di alto valore con un’enorme esposizione a valle.

I pacchetti AsyncAPI hanno dominato la prima ondata, con 36 release compromesse tra cui @asyncapi/cli, @asyncapi/parser e @asyncapi/generator.

PostHog è seguito alle 4:11 AM UTC, con versioni infette di posthog-js, posthog-node e dozzine di plugin. I pacchetti Postman sono arrivati alle 5:09 AM UTC.

La compromissione di Zapier ha interessato @zapier/zapier-sdk, zapier-platform-cli e zapier-platform-core, mentre quella di ENS ha colpito @ensdomains/ensjs, @ensdomains/ens-contracts ed ethereum-ens.

La creazione di branch GitHub suggerisce accesso a livello di repository

Il team di AsyncAPI ha scoperto un branch malevolo nel loro repository CLI creato immediatamente prima che i pacchetti compromessi apparissero su npm.

Il branch conteneva una versione distribuita del malware Shai-Hulud, indicando che l’attaccante aveva ottenuto accesso in scrittura al repository stesso invece di limitarsi a dirottare i token npm.

Questa escalation rispecchia la tecnica usata nella compromissione originale di Nx, in cui gli attaccanti modificarono i repository sorgente per iniettare codice malevolo nelle pipeline di build legittime.

Aikido stima che ora 26.300 repository GitHub contengano credenziali rubate contrassegnate con la descrizione “Sha1-Hulud: The Second Coming”.

I repository contengono segreti esposti dagli ambienti degli sviluppatori che hanno eseguito i pacchetti compromessi, inclusi credenziali di servizi cloud, token CI/CD e chiavi di autenticazione per API di terze parti.

La natura pubblica delle fughe di dati amplifica il danno: qualsiasi attaccante che monitora i repository può raccogliere credenziali in tempo reale e lanciare attacchi secondari.

Tempistica dell’attacco e mitigazione

La tempistica coincide con l’annuncio di npm del 15 novembre che revocherà i token di autenticazione classici il 9 dicembre.

La scelta dell’attaccante di lanciare una campagna su larga scala finale prima della scadenza suggerisce che avesse riconosciuto che la finestra per le compromissioni basate su token si stava chiudendo. La timeline di Aikido mostra che la prima ondata di Shai-Hulud è iniziata il 16 settembre.

Il “Second Coming” del 24 novembre rappresenta l’ultima opportunità dell’attaccante di sfruttare i token legacy prima che la migrazione di npm interrompa quell’accesso.

Aikido raccomanda ai team di sicurezza di verificare tutte le dipendenze degli ecosistemi colpiti, in particolare i pacchetti Zapier, ENS, AsyncAPI, PostHog e Postman installati o aggiornati dopo il 24 novembre.

Le organizzazioni dovrebbero ruotare tutte le credenziali GitHub, npm, cloud e CI/CD utilizzate negli ambienti in cui erano presenti questi pacchetti, e cercare su GitHub repository con la descrizione “Sha1-Hulud: The Second Coming” per determinare se credenziali interne siano state esposte.

Disabilitare gli script postinstall di npm nelle pipeline CI previene future esecuzioni in fase di installazione, e fissare le versioni dei pacchetti con file di lock limita l’esposizione a nuove release compromesse.

L’articolo Malicious worm compromises crypto domains in supply-chain attack è apparso per la prima volta su CryptoSlate.