Mini Shai-Hulud nutzt npm-Pakete von antv, um CI/CD-Zugangsdaten zu stehlen

Einordnung fuer Autofahrer

Die Plattform entfernte 640 bösartige Pakete und ungültigte über 61.000 npm-Token mit Schreibzugreiffrechten. Warnungen veröffentlicht, um Entwicklern die Erkennung des Problems zu erleichtern. Die Autoren des @antv-Kontos bestätigten später, dass die Situation mittlerweile behoben ist.

Kompromittierung der @antv-NPM-Pakete durch Mini Shai-Hulud Der Angriff erfolgte über eine saubere und gezielte Kette. Nach dem Zugriff auf das Maintainer-Konto veröffentlichte der Angreifer bösartige Versionen der Kern-Pakete für Diagramme.

Ein Preinstall-Hook innerhalb des Pakets löste die Payload automatisch während des npm install aus, sodass Entwickler keine zusätzlichen Befehle ausführen mussten, damit die Infektion begann. Die JavaScript-Payload verwendete zwei Ebenen der Verschleierung.

Die erste Ebene bestand aus 1.732

Die erste Ebene bestand aus 1.732 Base64-kodierten Zeichenfolgen, die in einem rotierten Array gemischt wurden. Die zweite Ebene nutzte einen benutzerdefinierten Verschlüsselungsalgorithmus auf Basis von PBKDF2 und SHA-256, der kritische Zeichenfolgen erst zur Laufzeit entschlüsselte.

Die Malware enthielt zudem eine Umgebungsprüfung, die dazu führte, dass sie sofort beendet wurde, wenn sie nicht in einer GitHub Actions Linux-Umgebung ausgeführt wurde, wodurch sie während normaler Tests der Erkennung entging. Nach Aktivierung exfiltrierte die Schadsoftware Daten über zwei Kanäle.

Der primäre Pfad nutzte eine verschlüsselte HTTPS-Verbindung zu einem Command-and-Control-Domain auf Port 443. Als Fallback diente die Git Data API, um Commits in Repositories der Opfer auf nicht geschützten Branches zu erstellen.

Was die Studie zeigt

Zum Zeitpunkt der Berichterstattung hatten Forscher mehr als 2.200 öffentliche Repositories unter Opferkonten als Kampagnenmerkmal identifiziert. Diebstahl CI/CD-Umgebungen Der Umfang des Zugangsdaten-Diebstahls war erschreckend. Bei AWS abfragte die Payload den Instance Metadata Service und rief SecretsManager in allen Regionen auf.

Bei HashiCorp Vault durchsuchte sie über zwölf Token-Pfade. Bei Kubernetes las sie Service-Account-Token und enumerierte Namespace-Secrets. Bei 1Password versuchte sie sogar, die Zwei-Faktor-Authentifizierung zu umgehen, um Master-Passwörter zu extrahieren. Die Schadsoftware arbeitete zudem daran, den Zugriff aufrechtzuerhalten.

Sie installierte die Bun-Laufzeitumgebung und nutzte diese, um eine zweite Stufen-Payload auszuführen. Es injizierte eine passwortlose sudo-Regel über einen bind-Mount und änderte DNS-Einstellungen durch Bearbeitung der hosts-Datei.

Technik und Auswirkungen

Zudem erzeugte es gefälschte Software-Supply-Chain-Provenienz-Atteste über Sigstore, um bösartige Pakete als legitim erscheinen zu lassen. Microsoft empfiehlt Entwicklern, Abhängigkeitsbäume auf die Verwendung betroffener @antv-Pakete zu überprüfen.

Das Ausführen –ignore-scripts-Flagge, das Festlegen bekannter, sicherer Versionen und das Rotieren aller exponierten Zugangsdaten sind kritische Schritte.

Entwickler sollten zudem GitHub-Konten auf unerwartete öffentliche Repositories überprüfen, die während des Expositionszeitraums erstellt wurden, da dies auf einen aktiven Kompromittierungsversuch hindeuten könnte.

Einordnung fuer Autofahrer

Indikatoren für Kompromittierungen (IoCs): Paketbereich: Indikator: @antv (gesamtes Konto); Beschreibung: Alle vom antv-Konto gepflegten Pakete wurden kompromittiert; die Situation ist laut den Autoren des Kontos nun behoben.

Paketname: Indikator: echarts-for-react; Beschreibung: Ein wesentlicher Downstream-Paket, das vom @antv-Kompromittierung betroffen war; die Situation ist laut den Autoren des Repositories nun behoben. SHA-256: Indikator: a68dd1e6a6e35ec3771e1f94fe796f55dfe65a2b94560516ff4ac189390dfa1c; Beschreibung: Bösartige JavaScript-Datei mit Nutzlast.

SHA-256: Indikator: fb5c97557230a27460fdab01fafcfabeaa49590bafd5b6ef30501aa9e0a51142; Beschreibung: Bösartiger Python-Backdoor-Skript. Domain: Indikator: t.m-kosche[.]com:443; Beschreibung: Infrastruktur, die mit der Mini Shai-Hulud-Kampagne in Verbindung steht. Dateiname: Indikator: Index.js; Beschreibung: Bösartiger Skript oder abgelegene Datei.

Technik und Auswirkungen

Dateiname: Indikator: cat.py; Beschreibung: Bösartiger Skript oder abgelegene Datei. Hinweis: IP-Adressen und Domains wurden absichtlich defanged (z. B. [.] ), um eine unbeabsichtigte Auflösung oder Hyperlinkung zu verhindern.

Fügen Sie die Defang-Markierungen nur innerhalb kontrollierter Threat-Intelligence-Plattformen wie MISP, VirusTotal oder Ihres SIEM wieder ein. Tushar ist ein leitender Cybersicherheits- und Datenschutzverletzungs-Berichter.

Er spezialisiert sich auf die Berichterstattung über Cybersicherheitsnachrichten, Trends und neue Bedrohungen, Datenschutzverletzungen sowie Malware-Angriffe. Mit jahrelanger Erfahrung bringt er Klarheit und Tiefe in komplexe Sicherheitsthemen. Behörden haben den „First VPN" genommen, der in Ransomware-Angriffen eingesetzt wurde.

Flipper stellt den neuen modularen Linux-Cyberdeck Flipper One vor. Interne GitHub-Repositories wurden über eine gewaffnete VS Code-Erweiterung kompromittiert.