在新一輪Shai-Hulud供應(yīng)鏈攻擊中，攻擊者在npm倉庫（Node Package Manager）植入了數(shù)百款經(jīng)過惡意篡改的知名軟件包，涉及Zapier、ENS Domains、PostHog、Postman等熱門項(xiàng)目。

這些惡意軟件包被上傳至npm平臺(tái)，核心目的是竊取開發(fā)者憑證及持續(xù)集成/持續(xù)部署（CI/CD）密鑰，竊取到的數(shù)據(jù)會(huì)以編碼形式自動(dòng)上傳至GitHub。截至本文發(fā)布時(shí)，GitHub上已檢索到27600條與此次攻擊相關(guān)的記錄條目。

在新Shai-Hulud行動(dòng)中被竊取秘密的GitHub倉庫

Shai-Hulud惡意軟件最早于9月中旬現(xiàn)身npm生態(tài)，當(dāng)時(shí)它通過自我傳播型載荷感染了187個(gè)軟件包，并利用TruffleHog工具竊取開發(fā)者密鑰。其攻擊手法為：自動(dòng)下載合法軟件包，修改package.json文件以注入惡意腳本，再通過被盜的維護(hù)者賬號(hào)將篡改后的包重新發(fā)布到npm。

專注于開發(fā)者安全的平臺(tái)Aikido Security的惡意軟件研究員Charlie Eriksen較早發(fā)現(xiàn)了這輪新攻擊——起初檢測(cè)到105個(gè)帶有Shai-Hulud特征的惡意篡改包，此后僅按包名統(tǒng)計(jì)，數(shù)量已增至492個(gè)。隨后該研究員發(fā)出預(yù)警，指出此次供應(yīng)鏈攻擊竊取的密鑰已泄露至GitHub。

然而攻擊規(guī)模仍在呈指數(shù)級(jí)擴(kuò)張，目前惡意包數(shù)量已突破2.7萬個(gè)。云安全平臺(tái)Wiz的研究人員發(fā)現(xiàn)，攻擊者共使用了約350個(gè)獨(dú)立的維護(hù)者賬號(hào)，并透露“過去幾小時(shí)內(nèi)，每30分鐘就有1000個(gè)新倉庫被創(chuàng)建”。

GitHub上出現(xiàn)的這些倉庫，實(shí)則表明使用了惡意npm包且環(huán)境中存儲(chǔ)有GitHub憑證的開發(fā)者設(shè)備已遭入侵。

CI/CD安全公司Step Security對(duì)新版Shai-Hulud惡意軟件的技術(shù)分析顯示，其惡意載荷主要存在于兩個(gè)文件中：一個(gè)是setup_bun.js，這是一個(gè)偽裝成Bun安裝程序的惡意投放器；另一個(gè)是bun_environment.js，文件大小達(dá)10MB。

Step Security指出，該文件采用“極致的代碼混淆技術(shù)”，例如包含數(shù)千條記錄的大型十六進(jìn)制編碼字符串、反分析循環(huán)，以及用于提取代碼中所有字符串的混淆函數(shù)。

該惡意軟件的攻擊流程分為五個(gè)階段，包括竊取密鑰（GitHub與npm令牌、AWS、GCP、Azure等云平臺(tái)的憑證），以及一個(gè)破壞性步驟——覆蓋受害者的整個(gè)主目錄。

為自部署軟件提供防護(hù)解決方案的公司Koi Security統(tǒng)計(jì)顯示，若計(jì)入同一軟件包的所有受感染版本，Shai-Hulud已影響超800個(gè)npm包。

研究人員確認(rèn)，新版Shai-Hulud變體的破壞性步驟僅在滿足四個(gè)特定條件時(shí)才會(huì)觸發(fā)：當(dāng)惡意軟件無法通過GitHub認(rèn)證、無法在GitHub創(chuàng)建倉庫、無法獲取GitHub令牌，或無法找到npm令牌時(shí)，便會(huì)刪除用戶的主目錄。

據(jù)Wiz透露，惡意代碼會(huì)收集開發(fā)者及CI/CD密鑰，并將其上傳至“名稱包含Shai-Hulud標(biāo)識(shí)”的GitHub倉庫。該惡意代碼僅在軟件包預(yù)安裝階段執(zhí)行，并會(huì)創(chuàng)建以下四個(gè)文件：cloud.json、contents.json、environment.json、truffleSecrets.json。竊取的密鑰會(huì)被上傳至自動(dòng)生成的GitHub倉庫，這些倉庫的描述統(tǒng)一為“Shai-Hulud

GitHub賬戶托管來自沙丘行動(dòng)的倉庫

此外，攻擊者似乎還獲取了部分GitHub賬號(hào)的控制權(quán)，目前正利用這些賬號(hào)創(chuàng)建包含上述四個(gè)文件的倉庫。

盡管GitHub會(huì)在攻擊者創(chuàng)建倉庫后立即進(jìn)行刪除，但攻擊者創(chuàng)建新倉庫的速度極快，難以徹底攔截。

在Aikido Security發(fā)現(xiàn)的186個(gè)感染新版Shai-Hulud惡意軟件的包中，包含多個(gè)來自Zapier、ENS Domains、PostHog和AsyncAPI的軟件包。其中，遭篡改的Zapier包是構(gòu)建Zapier集成功能的官方工具包，對(duì)Zapier開發(fā)者至關(guān)重要；而ENS Domains相關(guān)包則是錢包、去中心化應(yīng)用（DApps）、交易所及ENS Manager應(yīng)用廣泛使用的工具庫，主要用于處理.eth域名（如將域名解析為以太坊地址、關(guān)聯(lián)IPFS內(nèi)容、驗(yàn)證域名有效性，以及與官方ENS智能合約交互）。

目前所有遭篡改的包仍可在npm上下載，但在部分情況下，npm平臺(tái)會(huì)彈出“最新版本未經(jīng)授權(quán)發(fā)布”的警告信息，這表明平臺(tái)的自動(dòng)審查機(jī)制已檢測(cè)到異常。

npm上的警告信息

研究人員建議開發(fā)者：獲取完整的受感染包列表，將所用包降級(jí)至安全版本，并立即更換密鑰及CI/CD令牌。

Wiz的研究人員則建議安全團(tuán)隊(duì)：首先識(shí)別出受感染的包并替換為合法版本，同時(shí)督促企業(yè)更換所有與npm、GitHub及云服務(wù)商相關(guān)的憑證。

Aikido Security還建議開發(fā)者，若條件允許，在持續(xù)集成過程中禁用npm的postinstall（安裝后）腳本。

值得注意的是，Shai-Hulud此次卷土重來的背景是在npm平臺(tái)遭遇多起高影響供應(yīng)鏈攻擊后。GitHub已推出額外的安全措施以防范此類攻擊，但這些措施目前仍在逐步落地中。

參考及來源：https://www.bleepingcomputer.com/news/security/shai-hulud-malware-infects-500-npm-packages-leaks-secrets-on-github/