TensorLake npm SDK використано для поширення шкідливого ПЗ, що краде облікові дані

Резюме

Йдеться про скомпрометований реліз Tensorlake npm SDK версії 0.5.144, виявлений у атаці на ланцюг постачання, пов’язаній з ChainDrop / Shai-Hulud. Шкідливий пакет використовує preinstall hook для запуску зашифрованого завантажувача, що встановлює хробака, який краде облікові дані. Зловмисне програмне забезпечення націлене на чутливі токени, облікові дані хмари та конфігурації інструментів для розробки штучного інтелекту, а також містить руйнівний механізм відкладеної дії.

Розслідування

Дослідження Socket виявило компрометацію після виявлення шкідливого preinstall hook у маніфесті пакету. Аналіз показав, що завантажувач використовує Bun для виконання корисного навантаження, здатного збирати облікові дані та поширюватися через npm. Дослідники також виявили механізм постійності на основі PowerShell та техніку на основі Ethereum для вирішення інфраструктури команд та управління.

Урногуювання

Користувачі повинні негайно заблокувати та видалити версію Tensorlake 0.5.144 та перевірити всі середовища, де могла бути виконана її інсталяційна скрипт. gh-token-monitor механізм постійності слід видалити перед відміною скомпрометованих токенів GitHub, щоб уникнути запуску механізму відкладеної дії та можливого видалення директорії. Організації також повинні змінити конфіденційні дані, включаючи облікові дані AWS, GitHub та Kubernetes.

Відповідь

Будь-який хост, який виконав шкідливий код, слід розглядати як повністю скомпрометований та ізолювати для розслідування. Видаліть виявлені файли постійності та заплановані завдання у системах Linux, macOS та Windows. Після усунення постійності виконайте повний оберт облікових даних та відновіть пошкоджені середовища з надійних, перевірених джерел.

Виконання симуляції

• Наратив атаки та команди: Зловмисник успішно здобув початковий доступ і прагне встановити постійність. Відповідно до методології Shai-Hulud, нападник кидає шкідливий двійковий файл під назвою gh-token-monitor в приховану директорію (наприклад, /tmp/.hidden/). Мета полягає в тому, щоб виконувати цей процес для моніторингу токенів GitHub, що дозволило б далі збирати облікові дані та переміщатися по горизонталі. Нападник виконує двійковий файл для закріплення своєї присутності, що повинно запустити правило виявлення на основі імені файлу.

• Скрипт регресійного тесту:

  #!/bin/bash
  # Створити приховану директорію, що наслідує поведінку зловмисника
  mkdir -p /tmp/.hidden/
  
  # Створити фіктивний двійковий файл з ім'ям gh-token-monitor
  echo -e '#!/bin/bashnecho "Моніторинг токенів GitHub..."nsleep 3600' > /tmp/.hidden/gh-token-monitor
  
  # Надати фіктивному двійковому файлу можливість виконання
  chmod +x /tmp/.hidden/gh-token-monitor
  
  # Виконати двійковий файл, щоб запустити правило виявлення
  /tmp/.hidden/gh-token-monitor &
  
  # Зберегти PID для подальшого очищення
  ATTACK_PID=$!
  echo "Запущено симуляцію з PID: $ATTACK_PID"
  sleep 5
  kill $ATTACK_PID

• Команди очищення:

  # Видалити шкідливу директорію та фіктивний двійковий файл
  rm -rf /tmp/.hidden/