Mini Shai-Hulud nutzt npm-Pakete von antv, um CI/CD-Zugangsdaten zu stehlen

Besonders gefährlich war dieser Angriff aufgrund seiner enormen Reichweite.

Der Angreifer kompromittierte zunächst ein Maintainer-Konto innerhalb der @antv-Organisation und veröffentlichte daraufhin bösartige Versionen beliebter Pakete. die Infektion stromabwärts in abhängige Bibliotheken wie echarts-for-react aus, ein Paket mit über einer Million wöchentlichen Downloads.

Ein einziges vergiftetes Paket verbreitete sich stumm innerhalb weniger Nächte in Tausenden berichteten über diese Kampagne und enthüllten den gesamten Umfang der Fähigkeiten des Malwares.

Technischer Hintergrund

Laut dem News (CSN) übergebenen Bericht handelte es sich bei der bösartigen Last bei einem etwa 499 KB großen verschlüsselten JavaScript-Datei, die sofort ausgeführt wurde, sobald ein Entwickler den Befehl npm install eingab. Das Skript verfolgte ein einziges, klares Ziel: Die Diebstahl und verbundenen Cloud-Diensten.

Die Last durchsuchte Geheimnisse auf sechs Plattformen, darunter Amazon Web Services, HashiCorp Vault, Kubernetes, npm und 1Password.

Sie extrahierte Prozessspeicher direkt vom GitHub Actions Runner und umging dabei vollständig die Standard-Maskierung Malwares deutete auf einen durchdachten Versuch hin, Zugangsdaten zu entwenden und spurlos zu verschwinden, ohne Alarm auszulösen. Sobald die Bedrohung gemeldet wurde, reagierte GitHub schnell.

Einordnung fuer Autofahrer

Die Plattform entfernte 640 bösartige Pakete und ungültigte über 61.000 npm-Token mit Schreibzugreiffrechten. Warnungen veröffentlicht, um Entwicklern die Erkennung des Problems zu erleichtern. Die Autoren des @antv-Kontos bestätigten später, dass die Situation mittlerweile behoben ist.

Kompromittierung der @antv-NPM-Pakete durch Mini Shai-Hulud Der Angriff erfolgte über eine saubere und gezielte Kette. Nach dem Zugriff auf das Maintainer-Konto veröffentlichte der Angreifer bösartige Versionen der Kern-Pakete für Diagramme.

Ein Preinstall-Hook innerhalb des Pakets löste die Payload automatisch während des npm install aus, sodass Entwickler keine zusätzlichen Befehle ausführen mussten, damit die Infektion begann. Die JavaScript-Payload verwendete zwei Ebenen der Verschleierung.

Die erste Ebene bestand aus 1.732

Die erste Ebene bestand aus 1.732 Base64-kodierten Zeichenfolgen, die in einem rotierten Array gemischt wurden. Die zweite Ebene nutzte einen benutzerdefinierten Verschlüsselungsalgorithmus auf Basis von PBKDF2 und SHA-256, der kritische Zeichenfolgen erst zur Laufzeit entschlüsselte.

Die Malware enthielt zudem eine Umgebungsprüfung, die dazu führte, dass sie sofort beendet wurde, wenn sie nicht in einer GitHub Actions Linux-Umgebung ausgeführt wurde, wodurch sie während normaler Tests der Erkennung entging. Nach Aktivierung exfiltrierte die Schadsoftware Daten über zwei Kanäle.

Der primäre Pfad nutzte eine verschlüsselte HTTPS-Verbindung zu einem Command-and-Control-Domain auf Port 443. Als Fallback diente die Git Data API, um Commits in Repositories der Opfer auf nicht geschützten Branches zu erstellen.

Was die Studie zeigt

Zum Zeitpunkt der Berichterstattung hatten Forscher mehr als 2.200 öffentliche Repositories unter Opferkonten als Kampagnenmerkmal identifiziert. Diebstahl CI/CD-Umgebungen Der Umfang des Zugangsdaten-Diebstahls war erschreckend. Bei AWS abfragte die Payload den Instance Metadata Service und rief SecretsManager in allen Regionen auf.

Bei HashiCorp Vault durchsuchte sie über zwölf Token-Pfade. Bei Kubernetes las sie Service-Account-Token und enumerierte Namespace-Secrets. Bei 1Password versuchte sie sogar, die Zwei-Faktor-Authentifizierung zu umgehen, um Master-Passwörter zu extrahieren. Die Schadsoftware arbeitete zudem daran, den Zugriff aufrechtzuerhalten.

Sie installierte die Bun-Laufzeitumgebung und nutzte diese, um eine zweite Stufen-Payload auszuführen. Es injizierte eine passwortlose sudo-Regel über einen bind-Mount und änderte DNS-Einstellungen durch Bearbeitung der hosts-Datei.

Technik und Auswirkungen

Zudem erzeugte es gefälschte Software-Supply-Chain-Provenienz-Atteste über Sigstore, um bösartige Pakete als legitim erscheinen zu lassen. Microsoft empfiehlt Entwicklern, Abhängigkeitsbäume auf die Verwendung betroffener @antv-Pakete zu überprüfen.

Das Ausführen –ignore-scripts-Flagge, das Festlegen bekannter, sicherer Versionen und das Rotieren aller exponierten Zugangsdaten sind kritische Schritte.

Entwickler sollten zudem GitHub-Konten auf unerwartete öffentliche Repositories überprüfen, die während des Expositionszeitraums erstellt wurden, da dies auf einen aktiven Kompromittierungsversuch hindeuten könnte.

Einordnung fuer Autofahrer

Indikatoren für Kompromittierungen (IoCs): Paketbereich: Indikator: @antv (gesamtes Konto); Beschreibung: Alle vom antv-Konto gepflegten Pakete wurden kompromittiert; die Situation ist laut den Autoren des Kontos nun behoben.

Paketname: Indikator: echarts-for-react; Beschreibung: Ein wesentlicher Downstream-Paket, das vom @antv-Kompromittierung betroffen war; die Situation ist laut den Autoren des Repositories nun behoben. SHA-256: Indikator: a68dd1e6a6e35ec3771e1f94fe796f55dfe65a2b94560516ff4ac189390dfa1c; Beschreibung: Bösartige JavaScript-Datei mit Nutzlast.

SHA-256: Indikator: fb5c97557230a27460fdab01fafcfabeaa49590bafd5b6ef30501aa9e0a51142; Beschreibung: Bösartiger Python-Backdoor-Skript. Domain: Indikator: t.m-kosche[.]com:443; Beschreibung: Infrastruktur, die mit der Mini Shai-Hulud-Kampagne in Verbindung steht. Dateiname: Indikator: Index.js; Beschreibung: Bösartiger Skript oder abgelegene Datei.

Technik und Auswirkungen

Dateiname: Indikator: cat.py; Beschreibung: Bösartiger Skript oder abgelegene Datei. Hinweis: IP-Adressen und Domains wurden absichtlich defanged (z. B. [.] ), um eine unbeabsichtigte Auflösung oder Hyperlinkung zu verhindern.

Fügen Sie die Defang-Markierungen nur innerhalb kontrollierter Threat-Intelligence-Plattformen wie MISP, VirusTotal oder Ihres SIEM wieder ein. Tushar ist ein leitender Cybersicherheits- und Datenschutzverletzungs-Berichter.

Er spezialisiert sich auf die Berichterstattung über Cybersicherheitsnachrichten, Trends und neue Bedrohungen, Datenschutzverletzungen sowie Malware-Angriffe. Mit jahrelanger Erfahrung bringt er Klarheit und Tiefe in komplexe Sicherheitsthemen. Behörden haben den „First VPN" genommen, der in Ransomware-Angriffen eingesetzt wurde.

Flipper stellt den neuen modularen Linux-Cyberdeck Flipper One vor. Interne GitHub-Repositories wurden über eine gewaffnete VS Code-Erweiterung kompromittiert.