שי-חולוד 2.0: איך לעשות Secure שֶׁלְךָ Software Supply Chain נגד הגל השני

• תולעת מתפשטת עצמית: שי-חולוד 2.0 גונבת פרטי גישה ל-GitHub, אורזת את עצמה מחדש ומפרסמת מחדש על פני כל תיק ה-npm של מנהל המערכת.

• התפשטות עצומה: מעל 700 חבילות npm נגועות, מעל 25,000 מאגרי GitHub, מעל 500 מתחזקים מושפעים; מעל 1,000 מאגרי נתונים חדשים מתווספים כל 30 דקות ( Wiz ).

• השפעה חוצת-מערכות אקולוגיות: נצפתה גם ב-Maven/Java באמצעות שיקוף אוטומטי של npm ל-Maven.

• סיכונים עיקריים: חשיפה ל-CI/CD, סודות שנפגעו, ביצוע בזמן התקנה ורישומים מורעלים.

• הגנה: דיוק SBOM, אימות מקור, ניטור זמן ריצה והיגיינת אסימונים/סודות קפדנית.

היקף ומהירות התפשטות שי-חולוד 2.0 עלו על כל מה שנראה בתקריות שרשרת האספקה ​​האחרונות. מה שהחל כפגיעה ממוקדת ב-npm הפך במהרה לזיהום מערכתי וחוצה פלטפורמות, שפגע באלפי פרויקטים ומאות מתחזקים.

בניגוד לתוכנה זדונית טיפוסית מסוג npm, שבדרך כלל כוללת חבילה טרויאנית אחת, Shai-Hulud 2.0 מתנהגת כמו תולעת. לאחר שהיא פוגעת במפתח, היא גונבת את פרטי הגישה של GitHub, אורזת את עצמה מחדש ומפרסמת מחדש את כל חבילות ה-GitHub של מנהל המערכת, מה שהופך כל קורבן לנקודת הפצה חדשה. התוצאה היא התפשטות מהירה ואקספוננציאלית ברחבי המערכת האקולוגית.

מאות חבילות npm נפגעו. אלה כוללות פרויקטים בעלי נראות גבוהה המתוחזקים על ידי ארגונים מבוססים, מה שמגביר את החשיפה במורד הזרם.

התולעת נצפתה מייצרת יותר מ-1,000 מאגרי GitHub זדוניים חדשים כל 30 דקות ( Wiz ), המונעים על ידי פרסום אוטומטי מאישורים גנובים. כל קורבן חדש הופך לצומת התפשטות, מה שמכפיל את ההשפעה הכוללת בכל מחזור.

רכיב גניבת האישורים בשי-חולוד 2.0 מוכיח את עצמו כמזיק במיוחד. סודות מאומתים שדלפו כוללים יותר מ-1,500 אישורי גישה וטוקנים הפרושים על פני פלטפורמות מרכזיות - GitHub, AWS, Google Cloud פלטפורמה, ו-Azure.

כמות זו של אסימונים רגישים מייצגת פשרה רחבה, מרובת עננים, עם פוטנציאל לניצול ארוך זנב.

למרבה המזל, מספר מתחזקים בכירים כמו Zapier, PostHog ו-Postman כבר השיבו לעצמם את השליטה על החבילות שלהם. הגרסאות הזדוניות הוסרו מ-npm, ומאגרים רבים שנפגעו נמצאים כעת תחת פיקוח או ניקוי.

עם זאת, התקרית עדיין מתפתחת. אפילו עם תיקון מהיר, ארגונים חייבים להמשיך ולנטר את בריאות התלויות, צינורות CI וחשבונות GitHub לאיתור סימנים של דליפת אישורים נוספת או פרסום מחדש אוטומטי.

ראוי לציין כי גל זה השפיע גם על מערכות אקולוגיות אחרות כמו Maven/Java באמצעות המרה אוטומטית של artifacts מ-npm ל-Maven ( JFrog ).

• בעוד ש-npm נותר המטרה העיקרית של שי-חולוד 2.0, גל זה הדגים את הסיכון להתפשטות חוצת מערכות אקולוגיות, במיוחד לפרויקטים של ג'אווה/מאבן. חוקרי אבטחה זיהו את הארטיפקט הזדוני של מאבן:
  • org.mvnpm:posthog-node:4.18.1 אשר מכיל את אותו מטען (setup_bun.js ו bun_environment.js) שנמצא בחבילות npm שנפרצו (חדשות ההאקר).
• מנגנון: כלי גישור אוטומטיים בונים מחדש חבילות npm כ-Maven artifacts עבור פרויקטים של Java. צוותים שאינם משתמשים ישירות ב-Node.js עלולים להיחשף אם הפרויקטים שלהם מסתמכים על artifacts שיקוף אלה.

זה מדגים את הסיכון האגנוסטי למערכת האקולוגית של מתקפות שרשרת אספקה. אפילו פרויקטים שאינם משתמשים ישירות ב-npm יכולים לרשת סיכונים באמצעות כלים אוטומטיים.

הפריצה של PostHog מדגימה את העדינות של חשיפה ל-CI/CD:

• בקשות משיכה זדוניות ניצלו את הפונקציה pull_request_target ב-GitHub Actions.

• ‏PAT של בוט חולץ, מה שאפשר לאחר מכן פרסום של ערכות SDK של npm שעברו פגיעה טרויאנית.

זרימות עבודה של CI/CD, אפילו אוטומטיות, הן משטחי תקיפה בסיכון גבוה. יש להגביל סקריפטים, למזער את חשיפת האסימונים ולאכוף אישורים קצרי מועד.

• הצמדת תלויות עלולה להיכשל עקב תלויות טרנזיטיביות.

• סורקי SCA סטטיים אינם יכולים לזהות קוד חדש שפורסם ונגוע בטרויאנים תחת שמות חבילה לגיטימיים.

• שימוש לרעה באסימונים דרך צינורות CI/CD פירושו שאפילו מאגרים פנימיים נמצאים בסיכון.

כלי SBOM ושרשרת אספקה ​​יכולים לספק:

1. שקיפות תלות : מעקב אחר תלויות ישירות וטרנזיטיביות עם מטא-נתונים של גרסה ומתחזק.
2. אימות מקור : מזהה שינויים בלתי צפויים בחבילה או מתחזקים לא ידועים.
3. ניטור אישורים וסודות : מזהה ניסיונות חילוץ או שימוש לרעה באסימונים.
4. תובנות התנהגותיות : ניטור גישה למשאבים או דפוסי ביצוע חריגים במהלך התקנות.

אמנם אינו פתרון קסם, אך שילוב של SBOM עם ניטור רציף מחזק את ההגנות מפני התקפות דמויות תולעת.

טכנולוגיית SBOM OPSWAT סורקת את מאגר קוד המקור ומזהה את חבילת npm sha1-hulud הזדונית.

1. סובבו אישורים : PATs של GitHub, אסימוני npm, מפתחות SSH, אישורי ענן; הפעלת MFA.
2. הסר חבילות שנפגעו : נקה את מטמון npm, node_modules וצור קשר עם גרסאות נקיות ידועות.
3. ביקורת GitHub ו-CI/CD : חפש מאגרי מידע חדשים, זרימות עבודה ו-commits חשודים.
4. הקשחת צינורות : הגבלת סקריפטים של מחזור חיים, הגבלת גישה יוצאת לרשת וצמצום היקף האסימון.
5. ניטור רציף : התייחסו לתלות ובנו צינורות כחלק ממשטח ההתקפה הקריטי.

הגלישה של שי-חולוד 2.0 ל-Maven/Java דרך גישור npm-to-Maven מראה כי מתקפות שרשרת אספקה ​​יכולות לחצות גבולות שפה ומערכת אקולוגית. אפילו פרויקטים שאינם משתמשים ישירות ב-npm עלולים להיחשף אם נעשה שימוש בכלי גישור אוטומטיים.

אסימונים גנובים (GitHub, npm, cloud) מאפשרים הפצה וגישה לסביבות רגישות. השתמשו באסימונים קצרי מועד ובעלי היקף מוגבל, אכיפת MFA וסובבו אישורים מיד לאחר כל חשד לפריצה. השתמשו בכלי סריקה סודיים אוטומטיים כדי להאיץ את התהליך.