Investigadores de ciberseguridad han descubierto una nueva campaña de ataque a la cadena de suministro de software que compromete varios paquetes npm asociados con el ecosistema @antv como parte de la actual ola de ataques Mini Shai-Hulud.
«Este ataque afecta a los paquetes asociados con la herramienta de cuenta de mantenedor de npm, incluido echarts-for-react, un contenedor React ampliamente utilizado para Apache ECharts que se descarga aproximadamente 1,1 millones de veces cada semana», dijo Socket.
La lista de paquetes afectados incluye paquetes @antv como @antv/g2, @antv/g6, @antv/x6, @antv/l7, @antv/s2, @antv/f2, @antv/g, @antv/g2plot, @antv/graphin, @antv/data-set, así como echarts-for-react, timeago.js, size-sensor, canvas-nest.js, etc.
Según la empresa de seguridad de aplicaciones, esta técnica es consistente con Mini Shai-Hulud, que aprovecha las cuentas de administrador comprometidas para lanzar versiones troyanizadas en rápida sucesión.
Este desarrollo se produce mientras las campañas de ataque a la cadena de suministro continúan deslizándose a través de la cadena de suministro de software, infiltrándose rápidamente en varios registros de código abierto e infectando cientos de paquetes de software mediante la inyección de código de robo de credenciales en herramientas de desarrollo populares.
«El alcance potencial de la explosión es significativo porque las cuentas públicas afectadas están conectadas a paquetes que se utilizan ampliamente en los ecosistemas de visualización de datos, gráficos, mapeo, diagramas y componentes de React», dijo Socket. «Incluso si sólo un subconjunto de esos paquetes recibe una actualización maliciosa, la popularidad del ecosistema de paquetes expone a las organizaciones que obtienen automáticamente nuevas versiones de dependencia a un riesgo posterior significativo».
Los atacantes supuestamente publicaron 639 versiones maliciosas en 323 paquetes únicos, incluidas 558 versiones en 279 paquetes @antv únicos. La carga útil del ladrón recopila más de 20 tipos de credenciales, Amazon Web Services, Google Cloud, Microsoft Azure, GitHub, npm, SSH, Kubernetes, Vault, Stripe, cadenas de conexión de bases de datos e intentos de escapar del contenedor Docker a través del socket del host. Este ladrón es idéntico a la carga útil Mini Shai-Hulud utilizada en el compromiso de SAP.
Los datos recopilados finalmente se serializan, comprimen, cifran y extraen al dominio (‘tm-kosche(.)com:443’). Como mecanismo alternativo, el malware aprovecha el token de GitHub robado para crear un repositorio público en la cuenta de la víctima y guardar los datos en un archivo JSON.
El repositorio tiene la descripción «niagA oG eW ereH :duluH-iahS», que es una inversión de «Shai-Hulud: Here We Go Again». Al momento de escribir este artículo, GitHub tiene más de 2200 repositorios que contienen este marcador.
Además, el malware incluye una lógica de propagación de npm que explota los tokens de npm robados para validarlos primero a través de la API de registro de npm, enumerar los paquetes mantenidos por el titular del token, descargar paquetes tarball, inyectar cargas útiles maliciosas, agregar enlaces de preinstalación, incrementar las versiones de los paquetes y volver a publicarlos utilizando la identidad del administrador comprometido.
marco completo tímido
«Hay dos rutas de ejecución utilizadas en este ataque», dijo Safedepp. «Cada versión comprometida agrega un gancho de preinstalación (bun runindex.js). 630 de las 631 versiones maliciosas también inyectan una entrada OpcionalDependency (que apunta a la confirmación del impostor) que entrega una segunda copia de la carga útil a través del repositorio legítimo antvis/G2 GitHub».
«Una ráfaga pública de 22 minutos a través de 314 paquetes (631 versiones) con cargas útiles ofuscadas idénticas impidió cualquier operación por etapas o dirigida. Esta fue una exfiltración rápida y automatizada utilizando tokens robados».
La campaña autorreplicante Mini Shai-Hulud se ha atribuido a un atacante con motivos financieros llamado TeamPCP. Pero a partir de la semana pasada, la actividad entró en una nueva fase agresiva después de que TeamPCP publicara el código fuente completo para que lo utilicen otros actores de amenazas como parte de un concurso de ataque a la cadena de suministro anunciado en asociación con BreachForums.
«Si bien el acceso abierto a un marco de ataque a la producción no tiene precedentes, es inusual para una campaña activa», dijo Datadog. «Esto reduce la barrera para que otros atacantes adopten el manual de TeamPCP, que incluye técnicas más avanzadas como el abuso de tokens OIDC, la falsificación de procedencia y los ganchos de persistencia de herramientas de IA».
Desde entonces, un actor desconocido ha subido cuatro paquetes npm maliciosos. Uno de ellos contiene una copia casi exacta del gusano Shai-Hulud con su propia infraestructura de comando y control, lo que indica que las versiones clonadas del gusano pueden llegar al ecosistema de código abierto.
Esta ola de imitación complica los esfuerzos de atribución, mientras que los ataques continúan facilitando el robo de credenciales y abriendo la puerta a una explotación posterior. Este incidente ilustra una vez más cómo las herramientas comprometidas que ya son de confianza dentro de las redes corporativas pueden explotarse como vectores para la distribución de malware. Lo que hace que esta campaña sea realmente peligrosa es que una infracción influye en la siguiente y la superficie de ataque continúa creciendo a medida que se piratean más paquetes.
«Esta campaña está diseñada para cometer robo de credenciales a escala», dijo Trend Micro en un informe la semana pasada. «Las organizaciones que utilizan GitHub Actions, PyPI, Docker Hub, GHCR (GitHub Container Registry), extensiones VS Code y corredores de CI conectados a la nube están directamente expuestas a este riesgo».
Source link
