Bösartiger Wurm kompromittiert Krypto-Domains bei Supply-Chain-Angriff
Am 24. November entdeckte das Sicherheitsunternehmen Aikido eine zweite Welle des sich selbst replizierenden npm-Wurms Shai-Hulud, der 492 Pakete kompromittierte, die zusammen 132 Millionen monatliche Downloads verzeichnen.
Der Angriff traf bedeutende Ökosysteme wie AsyncAPI, PostHog, Postman, Zapier und ENS und nutzte die letzten Wochen vor der Frist von npm am 9. Dezember aus, in der alte Authentifizierungstoken widerrufen werden sollten.
Die Triage-Warteschlange von Aikido meldete den Einbruch gegen 3:16 Uhr UTC, als bösartige Versionen von AsyncAPIs go-template und 36 verwandten Paketen begannen, sich im Registry zu verbreiten.
Der Angreifer kennzeichnete Repositories mit gestohlenen Zugangsdaten mit der Beschreibung „Sha1-Hulud: The Second Coming“ und setzte damit das theatralische Branding der Kampagne vom September fort.
Der Wurm installiert die Bun-Laufzeitumgebung während der Paketinstallation und führt dann schädlichen Code aus, der mit TruffleHog nach offengelegten Geheimnissen in Entwicklerumgebungen sucht.
Kompromittierte API-Schlüssel, GitHub-Tokens und npm-Zugangsdaten werden in zufällig benannten öffentlichen Repositories veröffentlicht, und die Malware versucht, sich weiter zu verbreiten, indem sie neue infizierte Versionen auf bis zu 100 zusätzliche Pakete hochlädt – das Fünffache des Umfangs des Angriffs im September.
Technische Weiterentwicklung und destruktive Nutzlast
Die November-Iteration bringt mehrere Änderungen gegenüber dem Angriff im September.
Die Malware erstellt nun Repositories mit zufällig generierten Namen für gestohlene Daten, anstatt fest codierte Namen zu verwenden, was die Entfernung erschwert.
Der Setup-Code installiert Bun über setup_bun.js, bevor die Hauptnutzlast in bun_environment.js ausgeführt wird, die die Wurm-Logik und Routinen zum Abfluss von Zugangsdaten enthält.
Die zerstörerischste Neuerung: Wenn sich die Malware nicht mit gestohlenen Zugangsdaten bei GitHub oder npm authentifizieren kann, löscht sie alle Dateien im Home-Verzeichnis des Benutzers.
Die Analyse von Aikido zeigte Ausführungsfehler, die die Ausbreitung des Angriffs einschränkten. Der Bündelungscode, der den vollständigen Wurm in neue Pakete kopiert, versäumt es manchmal, bun_environment.js einzuschließen, sodass nur das Bun-Installationsskript ohne die schädliche Nutzlast übrig bleibt.
Trotz dieser Fehler trafen die ersten Kompromittierungen hochkarätige Ziele mit enormer Downstream-Exposition.
AsyncAPI-Pakete dominierten die erste Welle, mit 36 kompromittierten Releases, darunter @asyncapi/cli, @asyncapi/parser und @asyncapi/generator.
PostHog folgte um 4:11 Uhr UTC mit infizierten Versionen von posthog-js, posthog-node und Dutzenden von Plugins. Postman-Pakete erschienen um 5:09 Uhr UTC.
Der Zapier-Kompromiss betraf @zapier/zapier-sdk, zapier-platform-cli und zapier-platform-core, während der ENS-Kompromiss @ensdomains/ensjs, @ensdomains/ens-contracts und ethereum-ens betraf.
GitHub-Branch-Erstellung deutet auf Repository-Zugriff hin
Das AsyncAPI-Team entdeckte einen bösartigen Branch in ihrem CLI-Repository, der unmittelbar vor dem Erscheinen der kompromittierten Pakete auf npm erstellt wurde.
Der Branch enthielt eine bereitgestellte Version der Shai-Hulud-Malware, was darauf hindeutet, dass der Angreifer Schreibzugriff auf das Repository selbst erlangte und nicht nur npm-Tokens entwendete.
Diese Eskalation spiegelt die Technik wider, die beim ursprünglichen Nx-Kompromiss verwendet wurde, bei dem Angreifer Quell-Repositories modifizierten, um bösartigen Code in legitime Build-Pipelines einzuschleusen.
Aikido schätzt, dass nun 26.300 GitHub-Repositories gestohlene Zugangsdaten mit der Beschreibung „Sha1-Hulud: The Second Coming“ enthalten.
Die Repositories enthalten Geheimnisse, die von Entwicklerumgebungen offengelegt wurden, in denen die kompromittierten Pakete ausgeführt wurden, darunter Zugangsdaten für Cloud-Dienste, CI/CD-Tokens und Authentifizierungsschlüssel für Drittanbieter-APIs.
Die öffentliche Natur der Leaks verstärkt den Schaden: Jeder Angreifer, der die Repositories überwacht, kann Zugangsdaten in Echtzeit sammeln und Folgeangriffe starten.
Angriffszeitpunkt und Gegenmaßnahmen
Der Zeitpunkt fällt mit der Ankündigung von npm am 15. November zusammen, dass klassische Authentifizierungstokens am 9. Dezember widerrufen werden.
Die Entscheidung des Angreifers, kurz vor Ablauf der Frist eine letzte groß angelegte Kampagne zu starten, deutet darauf hin, dass er erkannt hat, dass das Zeitfenster für tokenbasierte Kompromittierungen sich schließt. Die Zeitleiste von Aikido zeigt, dass die erste Shai-Hulud-Welle am 16. September begann.
Das „Second Coming“ am 24. November stellt die letzte Gelegenheit des Angreifers dar, alte Tokens auszunutzen, bevor die Migration von npm diesen Zugang abschneidet.
Aikido empfiehlt Sicherheitsteams, alle Abhängigkeiten aus den betroffenen Ökosystemen zu überprüfen, insbesondere die nach dem 24. November installierten oder aktualisierten Pakete von Zapier, ENS, AsyncAPI, PostHog und Postman.
Organisationen sollten alle GitHub-, npm-, Cloud- und CI/CD-Geheimnisse rotieren, die in Umgebungen verwendet wurden, in denen diese Pakete vorhanden waren, und auf GitHub nach Repositories mit der Beschreibung „Sha1-Hulud: The Second Coming“ suchen, um festzustellen, ob interne Zugangsdaten offengelegt wurden.
Das Deaktivieren von npm-postinstall-Skripten in CI-Pipelines verhindert die zukünftige Ausführung zur Installationszeit, und das Festschreiben von Paketversionen mit Lock-Dateien begrenzt die Exposition gegenüber neu kompromittierten Releases.
Der Beitrag Malicious worm compromises crypto domains in supply-chain attack erschien zuerst auf CryptoSlate.
Haftungsausschluss: Der Inhalt dieses Artikels gibt ausschließlich die Meinung des Autors wieder und repräsentiert nicht die Plattform in irgendeiner Form. Dieser Artikel ist nicht dazu gedacht, als Referenz für Investitionsentscheidungen zu dienen.
Das könnte Ihnen auch gefallen
Strafzahlung von 1,4 Billionen Dollar abgewendet! Meta erzielt Einigung im lebenswichtigen Rechtsstreit um Social-Media-Sucht und muss bis zu 18 Milliarden Dollar zahlen
Meta bestreitet die Vorwürfe von 29 US-Bundesstaaten, laut denen das Unternehmen durch Produktdesign Kinder und Jugendliche zur „Sucht“ verleite und Daten von Minderjährigen illegal sammle, stimmt jedoch einer Einigung von bis zu etwa 18 Milliarden US-Dollar zu. Als Teil der Einigung wird Meta die tägliche Nutzungsdauer für Minderjährige begrenzen, verpflichtende Pausierungen sowie nächtliche Nutzungsverbot-Zeiten einführen, Altersüberprüfung, elterliche Kontrolle und Schutz vor schädlichen Inhalten stärken sowie Funktionen wie „Like-Zahlen“ und Schönheitsfilter, die sozialen Vergleich fördern könnten, einschränken. Zudem akzeptiert Meta eine unabhängige Kontrolle des Unternehmens.
Vor dem Jackson Hole-Treffen werden wichtige Daten veröffentlicht: Die US-PCE-Inflation lag im Juli bei 3,7 %, das BIP-Wachstum im zweiten Quartal bleibt unverändert bei 1,5 %, die Konsumausgaben wurden nach oben korrigiert, stagnierten jedoch im Juli.
Das von der Federal Reserve am meisten beachtete Inflationsmaß, der Preisindex für persönliche Konsumausgaben (PCE), blieb im Juli unerwartet stabil. Die am selben Tag veröffentlichten zweiten Schätzungen zum US-Bruttoinlandsprodukt für das zweite Quartal bestätigen ein jährliches Wachstum von 1,5 %, wie zuvor berichtet, allerdings wurden die Konsumausgaben und die Investitionen der Unternehmen gegenüber den ersten Angaben nach oben korrigiert. Dennoch blieben die realen Konsumausgaben im Juli im Vergleich zum Vormonat unverändert, was darauf hindeutet, dass die Wirtschaft nach einem starken Wachstum zu Beginn des Sommers abkühlt.
Bitcoin kehrt auf 80.000 Dollar zurück, doch MSCI hält das Damoklesschwert weiterhin über dem Markt! Die Finanzierungsfliehkraft von Strategy (MSTR.US), auf die das Unternehmen so stolz ist, steht nun vor einer „Index-Identitätsprüfung“.
Da Strategy Inc. eine große Menge an Bitcoin hält, erwägt MSCI, entsprechende Regelungen zu erlassen und das Unternehmen möglicherweise aus dem globalen Aktienindex zu entfernen. Der Vorschlag sieht vor, Unternehmen auszuschließen, die nach Einschätzung von MSCI hauptsächlich Vermögensanhäufung betreiben und nicht operativ tätig sind.
Enttäuschende Prognose führt zu starkem Kursrückgang! Zoom (ZM.US) bleibt im Unternehmensbereich stark, Schwächen treten jedoch zutage und Meinungsverschiedenheiten an der Wall Street werden deutlich
Der Aktienkurs der Videokommunikationsplattform Zoom (ZM.US) fiel am Mittwoch im vorbörslichen Handel um etwa 7 %, nachdem das Unternehmen einen Ausblick veröffentlicht hatte, der nicht den Erwartungen entsprach und offenbar Investoren mit höheren Erwartungen enttäuschte.
Krypto-Preise
Mehr
