Bösartiger Wurm kompromittiert Krypto-Domains bei Supply-Chain-Angriff

Am 24. November entdeckte das Sicherheitsunternehmen Aikido eine zweite Welle des sich selbst replizierenden npm-Wurms Shai-Hulud, der 492 Pakete kompromittierte, die zusammen 132 Millionen monatliche Downloads verzeichnen.

Der Angriff traf bedeutende Ökosysteme wie AsyncAPI, PostHog, Postman, Zapier und ENS und nutzte die letzten Wochen vor der Frist von npm am 9. Dezember aus, in der alte Authentifizierungstoken widerrufen werden sollten.

Die Triage-Warteschlange von Aikido meldete den Einbruch gegen 3:16 Uhr UTC, als bösartige Versionen von AsyncAPIs go-template und 36 verwandten Paketen begannen, sich im Registry zu verbreiten.

Der Angreifer kennzeichnete Repositories mit gestohlenen Zugangsdaten mit der Beschreibung „Sha1-Hulud: The Second Coming“ und setzte damit das theatralische Branding der Kampagne vom September fort.

Der Wurm installiert die Bun-Laufzeitumgebung während der Paketinstallation und führt dann schädlichen Code aus, der mit TruffleHog nach offengelegten Geheimnissen in Entwicklerumgebungen sucht.

Kompromittierte API-Schlüssel, GitHub-Tokens und npm-Zugangsdaten werden in zufällig benannten öffentlichen Repositories veröffentlicht, und die Malware versucht, sich weiter zu verbreiten, indem sie neue infizierte Versionen auf bis zu 100 zusätzliche Pakete hochlädt – das Fünffache des Umfangs des Angriffs im September.

Technische Weiterentwicklung und destruktive Nutzlast

Die November-Iteration bringt mehrere Änderungen gegenüber dem Angriff im September.
Die Malware erstellt nun Repositories mit zufällig generierten Namen für gestohlene Daten, anstatt fest codierte Namen zu verwenden, was die Entfernung erschwert.

Der Setup-Code installiert Bun über setup_bun.js, bevor die Hauptnutzlast in bun_environment.js ausgeführt wird, die die Wurm-Logik und Routinen zum Abfluss von Zugangsdaten enthält.

Die zerstörerischste Neuerung: Wenn sich die Malware nicht mit gestohlenen Zugangsdaten bei GitHub oder npm authentifizieren kann, löscht sie alle Dateien im Home-Verzeichnis des Benutzers.

Die Analyse von Aikido zeigte Ausführungsfehler, die die Ausbreitung des Angriffs einschränkten. Der Bündelungscode, der den vollständigen Wurm in neue Pakete kopiert, versäumt es manchmal, bun_environment.js einzuschließen, sodass nur das Bun-Installationsskript ohne die schädliche Nutzlast übrig bleibt.

Trotz dieser Fehler trafen die ersten Kompromittierungen hochkarätige Ziele mit enormer Downstream-Exposition.

AsyncAPI-Pakete dominierten die erste Welle, mit 36 kompromittierten Releases, darunter @asyncapi/cli, @asyncapi/parser und @asyncapi/generator.

PostHog folgte um 4:11 Uhr UTC mit infizierten Versionen von posthog-js, posthog-node und Dutzenden von Plugins. Postman-Pakete erschienen um 5:09 Uhr UTC.

Der Zapier-Kompromiss betraf @zapier/zapier-sdk, zapier-platform-cli und zapier-platform-core, während der ENS-Kompromiss @ensdomains/ensjs, @ensdomains/ens-contracts und ethereum-ens betraf.

GitHub-Branch-Erstellung deutet auf Repository-Zugriff hin

Das AsyncAPI-Team entdeckte einen bösartigen Branch in ihrem CLI-Repository, der unmittelbar vor dem Erscheinen der kompromittierten Pakete auf npm erstellt wurde.

Der Branch enthielt eine bereitgestellte Version der Shai-Hulud-Malware, was darauf hindeutet, dass der Angreifer Schreibzugriff auf das Repository selbst erlangte und nicht nur npm-Tokens entwendete.

Diese Eskalation spiegelt die Technik wider, die beim ursprünglichen Nx-Kompromiss verwendet wurde, bei dem Angreifer Quell-Repositories modifizierten, um bösartigen Code in legitime Build-Pipelines einzuschleusen.

Aikido schätzt, dass nun 26.300 GitHub-Repositories gestohlene Zugangsdaten mit der Beschreibung „Sha1-Hulud: The Second Coming“ enthalten.

Die Repositories enthalten Geheimnisse, die von Entwicklerumgebungen offengelegt wurden, in denen die kompromittierten Pakete ausgeführt wurden, darunter Zugangsdaten für Cloud-Dienste, CI/CD-Tokens und Authentifizierungsschlüssel für Drittanbieter-APIs.

Die öffentliche Natur der Leaks verstärkt den Schaden: Jeder Angreifer, der die Repositories überwacht, kann Zugangsdaten in Echtzeit sammeln und Folgeangriffe starten.

Angriffszeitpunkt und Gegenmaßnahmen

Der Zeitpunkt fällt mit der Ankündigung von npm am 15. November zusammen, dass klassische Authentifizierungstokens am 9. Dezember widerrufen werden.

Die Entscheidung des Angreifers, kurz vor Ablauf der Frist eine letzte groß angelegte Kampagne zu starten, deutet darauf hin, dass er erkannt hat, dass das Zeitfenster für tokenbasierte Kompromittierungen sich schließt. Die Zeitleiste von Aikido zeigt, dass die erste Shai-Hulud-Welle am 16. September begann.

Das „Second Coming“ am 24. November stellt die letzte Gelegenheit des Angreifers dar, alte Tokens auszunutzen, bevor die Migration von npm diesen Zugang abschneidet.

Aikido empfiehlt Sicherheitsteams, alle Abhängigkeiten aus den betroffenen Ökosystemen zu überprüfen, insbesondere die nach dem 24. November installierten oder aktualisierten Pakete von Zapier, ENS, AsyncAPI, PostHog und Postman.

Organisationen sollten alle GitHub-, npm-, Cloud- und CI/CD-Geheimnisse rotieren, die in Umgebungen verwendet wurden, in denen diese Pakete vorhanden waren, und auf GitHub nach Repositories mit der Beschreibung „Sha1-Hulud: The Second Coming“ suchen, um festzustellen, ob interne Zugangsdaten offengelegt wurden.

Das Deaktivieren von npm-postinstall-Skripten in CI-Pipelines verhindert die zukünftige Ausführung zur Installationszeit, und das Festschreiben von Paketversionen mit Lock-Dateien begrenzt die Exposition gegenüber neu kompromittierten Releases.

Der Beitrag Malicious worm compromises crypto domains in supply-chain attack erschien zuerst auf CryptoSlate.