Die npm-Kampagne von Mini Shai-Hulud kompromittiert @antv-Pakete und zielt in einem koordinierten Lieferkettenangriff auf GitHub-Tokens, AWS-Schlüssel und CI/CD-Geheimnisse von Blockchain-Entwicklern ab.
Die böswilligen Veröffentlichungen begannen am 19. Mai kurz vor 2 Uhr morgens UTC. Als die meisten Entwickler an der Ostküste ihren ersten Kaffee tranken, war der Schaden bereits angerichtet.
Das Bedrohungsforschungsteam von Socket verfolgt einen aktiven AngriffNPM-LieferkettenangriffKompromittierende Pakete in der gesamten Antv-Visualisierungssuite. Das betroffene NPM-Betreuerkonto, atool, steuert eine breite Palette von Datenvisualisierungs- und Grafikpaketen, die häufig in Blockchain-Entwicklertools verwendet werden. Zu den gekennzeichneten Paketen gehören: antv/g2, antv/g6, antv/x6, antv/l7, antv/s2, antv/f2 und verwandte Tools außerhalb des antv-Namespace, einschließlich timeago.js, size-sensor und canvas-nest.js.
echarts-for-react steht im Mittelpunkt der Ausstellung. Dieses Paket wird wöchentlich etwa 1,1 Millionen Mal heruntergeladen. Socket hat eine bösartige Version, 3.2.7, als bekannte Malware gekennzeichnet, wobei das kompromittierte Artefakt laut Sockets eigenen Paketregistrierungsdaten nur 19 Minuten vor der Entdeckung veröffentlicht wurde.
639 Versionen. Eine Nacht. Zählt immer noch.
Das Aktivitätsfenster war eng. Schädliche Veröffentlichungen begannen um etwa 01:56 UTC und endeten etwa um 02:56 UTC. Die Erkennungssysteme von Socket erkannten das meiste davon innerhalb von sechs bis zwölf Minuten nach der Veröffentlichung. Laut der internen Überprüfung des Unternehmens, die unter veröffentlicht wurde, lag die durchschnittliche Erkennungszeit bei etwa 6,7 Minutensocket.dev.
Während der gesamten Mini Shai-Hulud-Kampagne hat Socket mittlerweile 1.055 kompromittierte Versionen in 502 einzigartigen Paketen verfolgt. Die Kampagne umfasst npm, PyPI und Composer. npm macht fast alles davon aus: 1.048 Versionen in 498 einzigartigen Paketen, wobei PyPI und Composer nur eine Handvoll beisteuern.
Die betroffenen Pakete enthielten in dieser Nacht auch Namensräume außerhalb von antv. Pakete unter lint-md, openclaw-cn und starmind erhielten in derselben Welle bösartige Updates. Die von diesem Reporter überprüften CSV-Daten zeigen Pakete wie antv/x6-Versionen 3.2.7 und 3.3.7, antv/g2-Versionen 5.5.8 und 5.6.8, antv/g6, antv/g2plot, antv/s2 und Dutzende weitere, die alle innerhalb desselben einstündigen Fensters veröffentlicht wurden.
Quelle:socket.dev.
Was die Nutzlast tatsächlich bewirkt
Der injizierte Code macht keine subtilen Angaben zu seinen Zielen. Eine index.js-Datei auf Root-Ebene ändert package.json so, dass es sich zur Installationszeit über einen Preinstall-Hook selbst ausführt: bun run index.js.
Die String-Verschleierungsschichten reichen tief. Die Nutzlast verwendet eine große Nachschlagetabelle, Laufzeit-String-Dekodierung und einen benutzerdefinierten Entschlüsseler, der bei globalThis als fc2edea72 registriert ist. Die Entschlüsselung enthüllt den Endpunkt der Exfiltration:https://t[.]m-kosche[.]com:443/api/public/otel/v1/traces. Die gesammelten Daten werden mit gzip komprimiert, mit AES-256-GCM verschlüsselt und der AES-Schlüssel selbst wird vor der Übertragung in RSA-OAEP mit SHA-256 verpackt. Das Abfangen dieses Datenverkehrs aus der Netzwerktelemetrie ist nicht einfach.
Die Nutzlast sucht speziell nach Geheimnissen der Entwicklerumgebung. GitHub-Tokens, NPM-Tokens, AWS-Anmeldeinformationen, Kubernetes-Dienstkontomaterialien, Vault-Tokens, private SSH-Schlüssel, Docker-Authentifizierungsdateien und Datenbankverbindungszeichenfolgen werden alle in der Zielliste angezeigt. Es enthält außerdem explizite Logik für 19 CI/CD-Plattformen, darunter GitHub Actions, GitLab CI, CircleCI, Jenkins, Azure DevOps, AWS CodeBuild, Buildkite, Vercel und Netlify.
Diese Liste liest sich wie ein Einkaufswagen. Kein Überwachungstool.
GitHub-Repositories, Dune-Namen und ein Wurm mit Ambitionen
Für Fälle, in denen der primäre HTTPS-Endpunkt blockiert wird, gibt es einen GitHub-Fallback-Exfiltrationspfad. Wenn die Nutzlast ein nutzbares GitHub-Token erhält, erstellt sie ein Repository unter dem Konto des Opfers und speichert die gestohlenen Daten in einem results/-Verzeichnis. Dateinamen folgen einem results-timestamp-counter.json-Muster. Socket hat dieses Verhalten bereits in früheren Mini Shai-Hulud-Wellen dokumentiert.
In den öffentlichen GitHub-Suchergebnissen für die umgekehrte Markierungsphrase werden derzeit etwa 1,8.000 Repositories angezeigt, basierend auf Screenshots, die im Socket-Bericht überprüft wurden. Die Namen der Lagerstätten folgen Mustern im Dune-Stil: sayyadina-stillsuit-852, atreides-ornithopter-112, harkonnen-phibian-552. Ein beobachtetes Repository, Zaynex/sayyadina-stillsuit-852, enthält ein results/-Verzeichnis, das mit aktiver Exfiltration übereinstimmt.
Es ist auch eine Wurmlogik eingebaut. Das Paket validiert npm-Tokens über Registrierungs-APIs, zählt wartbare Pakete auf, fügt den Preinstall-Hook ein, erhöht die Versionsnummern und veröffentlicht es dann unter der Identität des kompromittierten Betreuers erneut. Entwickelt, um sich zu verbreiten, nicht nur zu stehlen.
Frühere Mini Shai-Hulud-Varianten trafen auf TanStack-Pakete und Intercom-bezogene Tools zu. Unterschiedliche Dateinamen, unterschiedliche C2-Endpunkte. Diese Welle verwendet eine index.js auf Stammebene und einen kleineren Nutzlastkörper. Das Kernverhalten stimmt über alle Varianten hinweg überein. Socket behandelt dies als dieselbe Kampagnenfamilie.
Die Bedrohung ist nicht theoretischKrypto-Infrastruktur. Blockchain-Entwickler, die DeFi-Tools oder Web3-Dashboards erstellen, verwenden häufig Antv-Diagrammbibliotheken für die Datenvisualisierung in der Kette. Eine kompromittierte CI/CD-Pipeline bei einem DeFi-Projekt könnte die Anmeldeinformationen des Bereitstellers oder den Protokolladministratorzugriff offenlegen. Socket sagt, die Untersuchung bleibe offen.
Quelle: Live Bitcoin News
Schreibe einen Kommentar