Кто в вашей команде поддержки?

Исследователи сообщают об очередной атаке на цепочку поставок npm, в результате которой в понедельник хакеры скомпрометировали не менее 187 пакетов с вредоносной самораспространяющейся полезной нагрузкой для заражения других пакетов.

Скоординированная кампания в стиле червя получила название Shai-Hulud и началась со взлома пакета ctrl/tinycolor, который еженедельно скачивают более 2 миллионов раз.

Вредоносный код собрал и похитил учётные данные и другие токены доступа. С тех пор кампания значительно расширилась и теперь включает пакеты, связанные с CrowdStrike npmjs.

Как отметили вообщают об очереднпосле обнаружения вредоносных пакетов в публичном реестре npm, они оперативно удалили их и заблаговременно провели ротацию ключей в публичных реестрах. Затронутые пакеты не используются в сенсоре Falcon, так что платформа не затронута.

Исследователи Socket инициировали собственное расследование инцидента и выявили на тот момент не менее 40 пакетов, скомпрометированных в ходе этой кампании.

На текущий момент Socket и Aikido обнаружили также и дополнительные пакеты, в результате чего их число достигло как минимум 187. 

StepSecurity, в свою очередь, опубликовала свой технический анализ с расшифрованными фрагментами и схемами атак, в значительной степени подтверждающими первоначальные выводы Socket.

Скомпрометированные версии включают в себя механизм самораспространения, который нацелен на другие пакеты того же разработчика.

Вредоносное ПО загружает каждый пакет сопровождающим, изменяет его package.json, внедряет скрипт bundle.js, переупаковывает архив и повторно публикует его, тем самым обеспечивая автоматическую троянизацию нижестоящих пакетов.

Скрипт bundle.js использует TruffleHog - легитимный сканер, который может использоваться разработчиками и специалистами по безопасности для поиска утекшей конфиденциальной информации, такой как ключи API, пароли и токены, в репозиториях кода и других источниках данных.

Он проверяет и использует учетные данные разработчика и непрерывной интеграции, создает рабочий процесс GitHub Actions внутри репозиториев и переносит результаты в жестко закодированный веб-хук (hxxps://webhook[.]site/bb8ca5f6-4175-45d2-b042-fc9ebb8170b7).

Название Shai-Hulud происходит от файла рабочего процесса shai-hulud.yaml, используемого вредоносным ПО, обнаруженным во взломанных версиях, и является отсылкой к гигантским песчаным червям из «Дюна» Фрэнка Герберта.

Помимо популярных пакетов, эта атака на цепочку поставок выделяется и временем проведения. Атака последовала за двумя громкими атаками на цепочки поставок, произошедшими в том же месяце, включая нашумевшую s1ngularity.

Несмотря на то, что о первопричинах сегодняшней атаки говорить еще рано, но специалисты предполагают, что она могла быть организована теми же злоумышленниками, что стояли за s1ngularity.

Кроме того, отдельно произошёл второй инцидент, затронувший пакет ngx-bootstrap, популярный набор UI для AngularJS. Неясно, связано ли это с Shai-Hulud, но вполне возможно, что к моменту выхода обновления это станет очевидно.

В общем, все эти продолжающиеся атаки демонстрируют высокий уровень уязвимости современных цепочек поставок ПО, где один вредоносный запрос на извлечение или взломанная учетная запись сопровождающего могут повлиять на сотни проектов.

В то время как такие поставщики, как Google и CrowdStrike, подчеркивают, что их основные платформы остаются безопасными, инцидент подчеркивает настоятельную необходимость для разработчиков защитить свои сборки ПО и конвейеры.