Η Mini Shai-Hulud επιτίθεται σε npm πακέτα AntV μέσω compromised λογαριασμού

Η επίθεση Mini Shai-Hulud έχει πλήξει εκατοντάδες npm πακέτα του οικοσυστήματος @antv, αφού οι επιτιθέμενοι κατάφεραν να παραβιάσουν τον λογαριασμό του maintainer atool. Η νέα αυτή κίνηση αποτελεί μέρος της συνεχιζόμενης καμπάνιας supply chain επιθέσεων που έχει στόχο τα δημοφιλή εργαλεία ανάπτυξης λογισμικού και αντιπροσωπεύει μια σημαντική κλιμάκωση στην τακτική των cybercriminals. Η επίθεση αυτή διαφέρει από προηγούμενες καμπάνιες καθώς στοχεύει συγκεκριμένα στο οικοσύστημα data visualization, ένα κρίσιμο κομμάτι της σύγχρονης ανάπτυξης web εφαρμογών.

Δείτε επίσης: ‘Mini Shai-Hulud’: Παραβίαση SAP-Related npm Packages με credential stealer

Τα επηρεαζόμενα πακέτα περιλαμβάνουν το echarts-for-react, ένα ευρέως χρησιμοποιούμενο React wrapper για το Apache ECharts με περίπου 1,1 εκατομμύρια εβδομαδιαίες λήψεις. Στη λίστα των στόχων βρίσκονται επίσης τα @antv/g2, @antv/g6, @antv/x6, @antv/l7, @antv/s2, @antv/f2, @antv/g, @antv/g2plot, @antv/graphin και @antv/data-set, καθώς και σχετικά πακέτα εκτός του @antv namespace όπως τα timeago.js, size-sensor και canvas-nest.js. Αυτά τα πακέτα χρησιμοποιούνται ευρέως σε enterprise εφαρμογές για τη δημιουργία διαδραστικών γραφημάτων, χαρτών και dashboards, καθιστώντας την επίθεση ιδιαίτερα επικίνδυνη για τον επιχειρηματικό κόσμο.

Οι ερευνητές κυβερνοασφάλειας επισημαίνουν ότι η τακτική αυτή ταιριάζει απόλυτα με τη μεθοδολογία του Mini Shai-Hulud, όπου ένας παραβιασμένος λογαριασμός maintainer χρησιμοποιείται για να δημοσιεύσει trojanized εκδόσεις σε γρήγορη διαδοχή. Η ανάπτυξη αυτή έρχεται καθώς η καμπάνια supply chain επιθέσεων συνεχίζει να διεισδύει στην αλυσίδα εφοδιασμού λογισμικού, διαπερνώντας διαφορετικά open-source registries με ταχύτητα και μολύνοντας εκατοντάδες πακέτα λογισμικού. Η αυτοαναπαραγόμενη φύση της επίθεσης την καθιστά ιδιαίτερα ανησυχητική, καθώς κάθε νέο θύμα μπορεί να γίνει πλατφόρμα για περαιτέρω διάδοση του malware.

Τεχνικές λεπτομέρειες της επίθεσης Mini Shai-Hulud

Η δυνητική ακτίνα καταστροφής είναι σημαντική επειδή ο επηρεαζόμενος λογαριασμός δημοσίευσης συνδέεται με ευρέως χρησιμοποιούμενα πακέτα σε οικοσυστήματα data visualization, graphing, mapping, charting και React components. Ακόμη και αν μόνο ένα υποσύνολο αυτών των πακέτων έλαβε κακόβουλες ενημερώσεις, η δημοτικότητα του οικοσυστήματος δημιουργεί σημαντική έκθεση για οργανισμούς που αυτόματα τραβούν νέες εκδόσεις dependencies. Η επίθεση αυτή είναι ιδιαίτερα ανησυχητική για εταιρείες που βασίζονται σε continuous integration και automated deployment pipelines, καθώς οι κακόβουλες εκδόσεις μπορούν να εισχωρήσουν αυτόματα στα production περιβάλλοντα.

Δείτε επίσης: Mini Shai-Hulud Worm: Μολύνει TanStack, Mistral AI και άλλα Packages

Σύμφωνα με τους ερευνητές, ο επιτιθέμενος δημοσίευσε 639 κακόβουλες εκδόσεις σε 323 μοναδικά πακέτα, συμπεριλαμβανομένων 558 εκδόσεων σε 279 μοναδικά @antv πακέτα. Το stealer payload συλλέγει περισσότερους από 20 τύπους διαπιστευτηρίων, συμπεριλαμβανομένων Amazon Web Services, Google Cloud, Microsoft Azure, GitHub, npm, SSH, Kubernetes, Vault, Stripe και database connection strings, ενώ επιχειρεί Docker container escape μέσω του host socket. Η ικανότητα του malware να διαφύγει από Docker containers το καθιστά ιδιαίτερα επικίνδυνο για σύγχρονα cloud-native περιβάλλοντα που βασίζονται σε containerization για την απομόνωση εφαρμογών.

Το malware ενσωματώνει μια λογική διάδοσης npm που κάνει κατάχρηση των κλεμμένων npm tokens για να τα επικυρώσει πρώτα μέσω του npm registry API, απαριθμεί τα πακέτα που διατηρούνται από τον κάτοχο του token, κατεβάζει package tarballs, εισάγει το κακόβουλο payload, προσθέτει ένα preinstall hook, αυξάνει τις εκδόσεις των πακέτων και τα επαναδημοσιεύει χρησιμοποιώντας την ταυτότητα του παραβιασμένου maintainer. Αυτή η αυτοματοποιημένη διαδικασία επιτρέπει στην επίθεση να εξαπλωθεί εκθετικά μέσα σε λίγες ώρες, καθιστώντας την ανίχνευση και την αντιμετώπιση εξαιρετικά δύσκολη.

Η αυτοαναπαραγόμενη καμπάνια Mini Shai-Hulud αξιολογείται ότι είναι έργο μιας οικονομικά κινητοποιημένης ομάδας απειλής με το όνομα TeamPCP. Ωστόσο, από την περασμένη εβδομάδα, η δραστηριότητα έχει εισέλθει σε μια επιθετική, νέα φάση αφού η TeamPCP απελευθέρωσε ολόκληρο τον πηγαίο κώδικα για άλλους threat actors να χρησιμοποιήσουν ως μέρος ενός supply chain attack contest που ανακοινώθηκε σε συνεργασία με το BreachForums. Αυτή η εξέλιξη σηματοδοτεί μια ανησυχητική τάση democratization των εργαλείων επίθεσης, καθώς πλέον ακόμη και λιγότερο έμπειροι cybercriminals μπορούν να εκτελέσουν sophisticated supply chain επιθέσεις.

Στρατηγικές προστασίας και αντιμετώπισης

Για την αποτελεσματική προστασία από τέτοιες επιθέσεις, οι οργανισμοί πρέπει να υιοθετήσουν μια πολυεπίπεδη στρατηγική ασφάλειας. Αυτή περιλαμβάνει τη χρήση dependency scanning tools που μπορούν να ανιχνεύσουν κακόβουλα πακέτα πριν την εγκατάσταση, την εφαρμογή Software Bill of Materials (SBOM) για την παρακολούθηση όλων των dependencies, και τη δημιουργία private npm registries για κρίσιμες εφαρμογές. Επιπλέον, η χρήση container scanning και runtime protection μπορεί να ανιχνεύσει και να αποτρέψει τις προσπάθειες container escape που χρησιμοποιεί το Mini Shai-Hulud malware.

Δείτε επίσης: Νέα έκδοση του Shai-Hulud worm εξαπλώνεται μέσω npm, GitHub

Οι οργανισμοί πρέπει να παγώσουν ή να καρφιτσώσουν τις dependencies σε γνωστές καλές εκδόσεις, να ελέγξουν τα lockfiles και την πρόσφατη δραστηριότητα npm install, και να ανακαλέσουν και να περιστρέψουν τα secrets που μπορεί να έχουν εκτεθεί. Η προστασία των λογαριασμών maintainer με phishing-resistant MFA και hardware security keys είναι κρίσιμη για την πρόληψη μελλοντικών επιθέσεων. Τέλος, η εφαρμογή zero-trust architecture και η συνεχής παρακολούθηση για ανώμαλη δραστηριότητα στα development και production περιβάλλοντα αποτελούν βασικά στοιχεία μιας ολοκληρωμένης στρατηγικής άμυνας κατά των supply chain επιθέσεων.