Złośliwy robak narusza domeny kryptowalutowe w ataku na łańcuch dostaw
24 listopada firma zajmująca się bezpieczeństwem Aikido wykryła drugą falę samoreplikującego się robaka npm Shai-Hulud, który skompromitował 492 paczki o łącznej liczbie 132 milionów pobrań miesięcznie.
Atak uderzył w główne ekosystemy, w tym AsyncAPI, PostHog, Postman, Zapier i ENS, wykorzystując ostatnie tygodnie przed terminem 9 grudnia, kiedy npm wycofa starsze tokeny uwierzytelniające.
Kolejka triage Aikido oznaczyła naruszenie około godziny 3:16 UTC, gdy złośliwe wersje go-template AsyncAPI i 36 powiązanych paczek zaczęły rozprzestrzeniać się w rejestrze.
Atakujący oznaczył repozytoria ze skradzionymi poświadczeniami opisem „Sha1-Hulud: The Second Coming”, utrzymując teatralny branding z kampanii wrześniowej.
Robak instaluje środowisko uruchomieniowe Bun podczas instalacji paczki, a następnie wykonuje złośliwy kod, który przeszukuje środowiska deweloperskie w poszukiwaniu ujawnionych sekretów przy użyciu TruffleHog.
Skompromitowane klucze API, tokeny GitHub i poświadczenia npm są publikowane w losowo nazwanych publicznych repozytoriach, a złośliwe oprogramowanie próbuje się rozprzestrzeniać, wypychając nowe zainfekowane wersje do nawet 100 dodatkowych paczek, co jest pięć razy większą skalą niż atak z września.
Ewolucja techniczna i destrukcyjny ładunek
Listopadowa iteracja wprowadza kilka modyfikacji w stosunku do ataku z września.
Złośliwe oprogramowanie tworzy teraz repozytoria z losowo generowanymi nazwami dla skradzionych danych, zamiast używać zakodowanych na stałe nazw, co utrudnia działania mające na celu ich usunięcie.
Kod instalacyjny instaluje Bun za pomocą setup_bun.js przed wykonaniem głównego ładunku w bun_environment.js, który zawiera logikę robaka i procedury eksfiltracji poświadczeń.
Najbardziej destrukcyjny dodatek: jeśli złośliwe oprogramowanie nie może się uwierzytelnić w GitHub lub npm przy użyciu skradzionych poświadczeń, usuwa wszystkie pliki w katalogu domowym użytkownika.
Analiza Aikido ujawniła błędy wykonania, które ograniczyły rozprzestrzenianie się ataku. Kod pakujący, który kopiuje pełnego robaka do nowych paczek, czasami nie dołącza bun_environment.js, pozostawiając jedynie skrypt instalacyjny Bun bez złośliwego ładunku.
Pomimo tych niepowodzeń, początkowe naruszenia dotknęły cenne cele o ogromnym zasięgu w dół łańcucha.
Paczki AsyncAPI zdominowały pierwszą falę, z 36 skompromitowanymi wydaniami, w tym @asyncapi/cli, @asyncapi/parser i @asyncapi/generator.
PostHog pojawił się o 4:11 UTC, z zainfekowanymi wersjami posthog-js, posthog-node i dziesiątkami wtyczek. Paczki Postman pojawiły się o 5:09 UTC.
Kompromitacja Zapier dotknęła @zapier/zapier-sdk, zapier-platform-cli i zapier-platform-core, podczas gdy kompromitacja ENS dotknęła @ensdomains/ensjs, @ensdomains/ens-contracts i ethereum-ens.
Tworzenie gałęzi GitHub sugeruje dostęp na poziomie repozytorium
Zespół AsyncAPI odkrył złośliwą gałąź w swoim repozytorium CLI utworzoną tuż przed pojawieniem się skompromitowanych paczek na npm.
Gałąź zawierała wdrożoną wersję złośliwego oprogramowania Shai-Hulud, co wskazuje, że atakujący uzyskał dostęp do zapisu w samym repozytorium, a nie tylko przejął tokeny npm.
Ta eskalacja odzwierciedla technikę używaną w oryginalnym kompromisie Nx, w którym atakujący modyfikowali repozytoria źródłowe, aby wstrzyknąć złośliwy kod do legalnych pipeline’ów budowania.
Aikido szacuje, że obecnie 26 300 repozytoriów GitHub zawiera skradzione poświadczenia oznaczone opisem „Sha1-Hulud: The Second Coming”.
Repozytoria zawierają sekrety ujawnione przez środowiska deweloperskie, które uruchomiły skompromitowane paczki, w tym poświadczenia do usług chmurowych, tokeny CI/CD i klucze uwierzytelniające do zewnętrznych API.
Publiczny charakter wycieków potęguje szkody: każdy atakujący monitorujący repozytoria może w czasie rzeczywistym pozyskiwać poświadczenia i przeprowadzać wtórne ataki.
Timing ataku i środki zaradcze
Termin ataku pokrywa się z ogłoszeniem npm z 15 listopada, że 9 grudnia wycofa klasyczne tokeny uwierzytelniające.
Decyzja atakującego o uruchomieniu ostatniej kampanii na dużą skalę przed tym terminem sugeruje, że rozpoznał on, iż okno na kompromitacje oparte na tokenach się zamyka. Oś czasu Aikido pokazuje, że pierwsza fala Shai-Hulud rozpoczęła się 16 września.
„Second Coming” z 24 listopada to ostatnia szansa atakującego na wykorzystanie starszych tokenów przed migracją npm, która odetnie ten dostęp.
Aikido zaleca, aby zespoły ds. bezpieczeństwa przeprowadziły audyt wszystkich zależności z dotkniętych ekosystemów, w szczególności paczek Zapier, ENS, AsyncAPI, PostHog i Postman zainstalowanych lub zaktualizowanych po 24 listopada.
Organizacje powinny wymienić wszystkie sekrety GitHub, npm, chmurowe i CI/CD używane w środowiskach, w których obecne były te paczki, oraz przeszukać GitHub pod kątem repozytoriów z opisem „Sha1-Hulud: The Second Coming”, aby ustalić, czy wewnętrzne poświadczenia zostały ujawnione.
Wyłączenie skryptów postinstall npm w pipeline’ach CI zapobiega przyszłemu wykonywaniu podczas instalacji, a przypinanie wersji paczek za pomocą plików lock ogranicza ekspozycję na nowe skompromitowane wydania.
Post Malicious worm compromises crypto domains in supply-chain attack appeared first on CryptoSlate.
Zastrzeżenie: Treść tego artykułu odzwierciedla wyłącznie opinię autora i nie reprezentuje platformy w żadnym charakterze. Niniejszy artykuł nie ma służyć jako punkt odniesienia przy podejmowaniu decyzji inwestycyjnych.
Może Ci się również spodobać
Prognoza na ten tydzień: makroekonomiczny „potop” tygodnia – opóźniony CPI i „polowanie na podwyżki stóp” przez Bank Japonii
W tym tygodniu globalne rynki czekają na publikację kluczowych danych, w tym raportu o zatrudnieniu poza rolnictwem w USA, danych o inflacji CPI oraz decyzji Banku Japonii dotyczącej podwyżki stóp procentowych. Wydarzenia te będą miały znaczący wpływ na płynność rynkową. Cena bitcoin pozostaje zmienna pod wpływem czynników makroekonomicznych, podczas gdy instytucje takie jak Coinbase i HashKey próbują wyróżnić się poprzez innowacje i wejście na giełdę.

Najpopularniejsze tematy tygodnia: Fed obniża stopy procentowe i pośrednio „wpuszcza płynność” na rynek! Srebro zastępuje złoto jako nowy faworyt?
Fed obniża stopy procentowe i rozpoczyna skup obligacji, podczas gdy Japonia i inne kraje planują podwyżki stóp? Srebro wielokrotnie osiąga nowe rekordy, SpaceX szykuje się do IPO o wartości 1.5 biliona, a Oracle staje się papierkiem lakmusowym bańki AI! Pokój między Rosją a Ukrainą utknął na kwestii terytorialnej, USA przejęły tankowiec z Wenezueli... Jakie ekscytujące wydarzenia rynkowe przegapiłeś w tym tygodniu?

Jakie kluczowe punkty warto śledzić podczas Solana Breakpoint 2025
Jak Solana zdobywa udział w coraz bardziej konkurencyjnym rynku?

Cena BTC gwałtownie rośnie: Bitcoin przebija barierę 89 000 dolarów w imponującym rajdzie
