Le SDK npm de TensorLake utilisé pour diffuser des logiciels malveillants voleurs d’identifiants

Résumé

Une version compromise du SDK npm de Tensorlake, version 0.5.144, a été découverte dans une attaque de la chaîne d’approvisionnement associée à ChainDrop / Shai-Hulud. Le package malveillant utilise un hook de préinstallation pour lancer un chargeur obfusqué qui installe un ver voleur de crédentiels. Le malware cible les jetons sensibles, les identifiants cloud et les configurations d’outils de développement IA, tout en intégrant également un commutateur suicidaire destructeur.

Enquête

Socket Research a découvert la compromission après avoir détecté un hook de préinstallation malveillant dans le manifeste du package. L’analyse a montré que le chargeur utilise Bun pour exécuter une charge utile capable de collecter des crédentiels et de se propager via npm. Les chercheurs ont également identifié un mécanisme de persistance basé sur PowerShell et une technique basée sur Ethereum pour résoudre l’infrastructure de commande et de contrôle.

Atténuation

Les utilisateurs doivent immédiatement bloquer et supprimer la version 0.5.144 de Tensorlake et auditer tous les environnements où son script d’installation aurait pu s’exécuter. Le gh-token-monitor mécanisme de persistance doit être supprimé avant de révoquer les jetons GitHub compromis pour éviter de déclencher le commutateur suicidaire et la suppression potentielle de répertoires. Les organisations devraient également faire une rotation de tous les secrets exposés, y compris les identifiants AWS, GitHub et Kubernetes.

Réponse

Tout hôte ayant exécuté le code malveillant doit être considéré comme totalement compromis et isolé pour enquête. Supprimez les fichiers de persistance identifiés et les tâches planifiées sur les systèmes Linux, macOS et Windows. Après avoir éliminé la persistance, effectuez une rotation complète des crédentiels et reconstruisez les environnements affectés à partir de sources de confiance et fiables.

Exécution de simulation

• Narration de l’attaque et commandes : L’adversaire a réussi à obtenir un accès initial et cherche à établir une persistance. En suivant la méthodologie Shai-Hulud, l’attaquant dépose un binaire malveillant nommé gh-token-monitor dans un répertoire caché (par exemple, /tmp/.hidden/). Le but est d’exécuter ce processus pour surveiller les jetons GitHub, ce qui permettrait une collecte de crédentiels plus large et des mouvements latéraux. L’attaquant exécute le binaire pour établir sa présence, ce qui devrait déclencher la règle de détection basée sur le nom du fichier.

• Script de test de régression :

  #!/bin/bash
  # Créer un répertoire caché pour imiter le comportement de l'adversaire
  mkdir -p /tmp/.hidden/
  
  # Créer un binaire factice nommé gh-token-monitor
  echo -e '#!/bin/bashnecho "Surveillance des jetons GitHub..."nsleep 3600'  > /tmp/.hidden/gh-token-monitor
  
  # Rendre le binaire factice exécutable
  chmod +x /tmp/.hidden/gh-token-monitor
  
  # Exécuter le binaire pour déclencher la règle de détection
  /tmp/.hidden/gh-token-monitor &
  
  # Capturez le PID pour permettre le nettoyage
  ATTACK_PID=$!
  echo "Simulation running with PID: $ATTACK_PID"
  sleep 5
  kill $ATTACK_PID

• Commandes de nettoyage :

  # Supprimer le répertoire malveillant et le binaire factice
  rm -rf /tmp/.hidden/