Злоумышленники выкатили более 600 вредоносных пакетов в Node Package Manager (npm) в рамках новой кампании по распространению вредоносного ПО Shai-Hulud.

Большинство затронутых пакетов находятся в экосистеме antv, которая включает библиотеки для построения графиков, визуализации графов, создания блок-схем и картографирования. Однако популярные пакеты за пределами этого пространства имен также были скомпрометированы.

Как и в предыдущей кампании Shai-Hulud, затронувшей пакеты TanStack и Mistral, вредоносная ПО собирает секреты из сред разработки и CI/CD, передавая их через P2P-сеть сессий, чтобы затруднить обнаружение и удаление вредоносного ПО.

Злоумышленник также использовал GitHub в качестве резервного механизма для утечки данных и публиковал украденные данные в репозиториях под учетными записями жертв, когда обнаруживались токены, использованные для публикации.

По данным Socket, 19 мая, в период с 01:56 UTC до 02:56 UTC, хакеры опубликовали 639 вредоносных версий в 323 уникальных пакетах примерно за один час.

Атака началась со взлома учетной записи npm atool, которая публикует пакеты в пространстве имен antv. Среди пострадавших библиотек: echarts-for-react, antv/g2, antv/g6, antv/x6, antv/l7, antv/g2plot, antv/graphin, timeago.js, size-sensor и canvas-nest.js

В свою очередь, исследователи Endor Labs отметили, что некоторые пакеты (например, timeago.js, size-sensor и jest-canvas-mock) долгое время не получали обновлений и, следовательно, с меньшей вероятностью имели настроенную функцию безопасности публикации с использованием доверенных OIDC.

Например, jest-canvas-mock по-прежнему имеет 10 млн. ежемесячных загрузок, но находится в режиме ожидания уже около 3 лет.

Исследователи Socket составили список артефактов пакетов, затронутых всеми атаками Shai-Hulud, который разросся до более чем 1000 записей.

Кампании Shai-Hulud стартовали в сентябре прошлого года и продолжают хоть и в меньшей степени, но затрагивать различные программные экосистемы, такие как npm, PyPI и Composer.

Вредоносная ПО взламывает учетные записи сопровождающих или токены публикации, чтобы распространять легитимные пакеты со вредоносным кодом, который крадет секреты разработчиков и системы CI/CD, распространяясь на другие проекты через украденные учетные данные.

Последняя волна атак связана с внедрением сильно обфусцированного вредоносного кода index.js, который пытается украсть учетные данные GitHub, npm, cloud, Kubernetes, Vault, Docker, баз данных и SSH.

В первую очередь, он ориентирован на рабочие станции разработчиков и среды CI/CD, включая GitHub Actions, GitLab CI, Jenkins, Azure DevOps, CircleCI, Vercel, Netlify и другие платформы сборки.

Украденные данные сериализуются, сжимаются с помощью Gzip, шифруются с помощью AES-256-GCM и упаковываются в RSA-OAEP, чтобы затруднить проверку сети.

Если учетные данные GitHub доступны, вредоносная программа использует API GitHub для автоматического создания новых репозиториев в учетной записи жертвы и загрузки в них украденных данных.

В репозиториях, опубликованных в результате этой атаки, есть файл Readme со строкой niaga og ew ereh :duluh-iahs, которая является обратной фразе «Shai-Hulud: Here We Go Again», использованной в утечке вредоносного ПО Shai-Hulud на прошлой неделе.

В отчете Aikido отмечается, что на GitHub обнаружено более 2700 мошеннических репозиториев, соответствующих маркерам кампании по оптимизации цепочки поставок Shai-Hulud.

Однако основным каналом утечки является filev2.getsession[.]org/file/ через сеть Session P2P. Microsoft также задетектила конечную точку tm-kosche[.]com для отправки украденных учетных данных.

Как отметили в Endor Labs, в сети это сквозное зашифрованное соединение по протоколу TCP/443, неотличимое от легитимного трафика приложений Session на сетевом уровне. Нет традиционной точки C2, которую можно было бы блокировать по имени хоста или IP-адресу.