Gisteravond ontdekten meerdere netwerkbeveiligingsbedrijven dat Red Hat meerdere softwarepakketten met kwaadaardige payloads op het NPM-platform had uitgebracht. Deze kwaadaardige payloads maakten gebruik van variantversies van de open source-worm Mini Shai-Hulud. Nadat ze de ontwikkelomgeving waren binnengegaan, verzamelden en codeerden ze verschillende gevoelige inloggegevens en uploadden ze deze naar servers die werden beheerd door hackers. Tegelijkertijd zou de worm deze inloggegevens gebruiken om zich lateraal te blijven verspreiden om meer ontwikkelomgevingen te infecteren en meer inloggegevens te stelen.
Na voorlopig onderzoek zijn beveiligingsonderzoekers van mening dat de bron van de supply chain-aanval de kaping van het GitHub-account van een Red Hat-ingenieur was. De hacker gebruikte vervolgens het vertrouwde publicatiemechanisme van NPM om malwarepakketten te pushen van OIDC-tokens voor de korte termijn die waren uitgegeven in GitHub Actions. Het is onduidelijk hoeveel downstream-ontwikkelaars daadwerkelijk zijn getroffen, maar deze softwarepakketten die door Red Hat zijn uitgebracht, zijn voornamelijk bedoeld voor zakelijk gebruik, dus de meeste geïnfecteerde downstream-ontwikkelaars zijn ook ontwikkelaars op ondernemingsniveau.
Het vertrouwde publicatiemechanisme wordt ook omzeild:
Het vertrouwde publicatiemechanisme van NPM heeft tot doel publicatietokens voor de lange termijn uit de CI/CD-pijplijn te verwijderen en in plaats daarvan OIDC-tokens voor de korte termijn te gebruiken die zijn uitgegeven door GitHub Actions om dergelijke tokens voor de lange termijn te vervangen. Dit mechanisme is oorspronkelijk ontworpen om de beveiliging te verbeteren en beveiligingsproblemen te voorkomen die worden veroorzaakt door het lekken van langdurig geldige inloggegevens. Recente aanvallen op de toeleveringsketen hebben echter aangetoond dat als een aanvaller toegang krijgt tot de CI/CD-pijplijn via een kwetsbaarheid of een gestolen token, het vertrouwde publicatiemechanisme volledig kan worden omzeild.
In dit aanvalsgeval werd het GitHub-account van een Red Hat-ingenieur gecompromitteerd en vervolgens door hackers gebruikt om kwaadaardige weesinzendingen rechtstreeks naar meerdere codeopslagplaatsen te pushen. Het hele proces omzeilde ook de codebeoordeling. Deze weesinzendingen bevatten het workflowbestand CI.YAML en het script _INDEX.JS. Wanneer de workflow actief is, zal deze Bun installeren en _INDEX.JS uitvoeren, en vervolgens de doelpakketlijst doorgeven via omgevingsvariabelen. Het script gebruikt ook machtigingen om OIDC voor de korte termijn aan te vragen bij GitHub. token en gebruik vervolgens het token om het pakket met de schadelijke payload rechtstreeks naar NPM te pushen.
Variantversies van mini-zandwormen:
Het TeamPCP-team, dat zich voorheen bezighield met supply chain-aanvallen, heeft de Shai-Hulud-worm uitgebracht als open source. Nu gebruiken steeds meer hackers deze worm om aanvallen uit te voeren. De worm die door de hackers in deze aanvalszaak wordt gebruikt, is aangepast op basis van Sandworm, maar wordt in wezen gebruikt om verschillende inloggegevens in de ontwikkelomgeving te stelen en te proberen deze horizontaal te verspreiden.
De soorten gestolen inloggegevens zijn onder meer: GitHub Actions-sleutels, AWS-toegangssleutels en sessietokens, GCP-standaardreferenties en accountservicesleutelbestanden, Azure Service Principal-referenties en beheerde identiteitstokens, NPM- en PYPI-publicatietokens, SSH-sleutels, Docker-registerreferenties, GPG-sleutels en alle .env-bestanden die in de ontwikkelomgeving worden aangetroffen.