Massiver PyPI-Lieferkettenangriff erntet Cloud-Anmeldeinformationen über Python-Startup-Hooks

Zusammenfassung

Eine koordinierte Supply-Chain-Operation, bekannt als die Hades-Kampagne, hat 26 PyPI-Pakete kompromittiert, um Cloud-Zugangsdaten zu stehlen. Der Angriff missbraucht Python .pth -Dateien, um bösartigen Code beim Start des Interpreters auszulösen und die Bun JavaScript-Laufzeit zu nutzen, um die Nutzlast auszuführen. Es ist darauf ausgelegt, Geheimnisse im Zusammenhang mit AWS, GCP, Azure, Kubernetes und GitHub über mehrere Betriebssysteme hinweg zu ernten.

Untersuchung

Orca Security identifizierte 37 bösartige Wheel-Dateien, die über bioinformatische und Entwickler-Tool-Plattformen verteilt waren. Ihre Analyse enthüllte eine Cross-Runtime-Technik, bei der die Malware Bun herunterlädt, um verschleierte JavaScript-Nutzlasten auszuführen. Die Kampagne erzeugt auch Ablenkungsverkehr zu Anthropic AI-Diensten und verwendet Prompt-Injektions-Techniken, um die Effektivität von LLM-basierten Sicherheitsüberprüfungen zu verringern.

Abschwächung

Organisationen sollten die betroffenen Pakete sofort entfernen oder auf sichere Versionen fixieren und alle potenziell exponierten Zugangsdaten rotieren. Dazu gehören Cloud-Zugangs-Token, GitHub-Persönliche-Zugangs-Token, SSH-Schlüssel und Docker-Registry-Zugangsdaten. Sicherheitsteams sollten auch nach bekannten Persistenz-Artefakten auf Linux-, macOS- und Windows-Hosts suchen.

Reaktion

Bei Verdacht auf eine Kompromittierung sollte das betroffene System isoliert werden, bevor Zugangsdaten rotiert werden, um das Risiko einer Erpressung durch den gh-token-monitor -Daemon zu verringern. Entwickler-Workstations und CI/CD-Runner, die die vergifteten Pakete ausgeführt haben, sollten neu aufgebaut werden. GitHub-Repositories sollten auf unautorisierte Commits und neu erstellte Repositories überprüft werden, die zu den Namensmustern der Angreifer passen.

Simulation der Ausführung

Voraussetzung: Die Telemetrie- & Basislinien-Vorabkontrolle muss bestanden haben.

Begründung: Dieser Abschnitt beschreibt die genaue Ausführung der Gegnertaktik (TTP), die darauf ausgelegt ist, die Erkennungsregel auszulösen. Die Befehle und der Ablauf MÜSSEN die identifizierten TTPs direkt widerspiegeln und darauf abzielen, die genaue von der Erkennungslogik erwartete Telemetrie zu erzeugen. Abstrakte oder nicht verwandte Beispiele führen zu Fehldiagnosen.

• Angriffsnarrativ & Befehle: Der Angreifer hat erfolgreich die Arbeitsstation eines Entwicklers über ein bösartiges PyPI-Paket (Hades-Kampagne) kompromittiert. Ein Python-Start-Hook wurde ausgeführt und hat erfolgreich ein Azure-Authentifizierungs-Token aus dem lokalen Speicher/Cache abgezapft. Um die Erkennung dieser Aktivität in den Azure-Audit-Protokollen zu simulieren, werden wir die Erzeugung eines Audit-Protokolleintrags simulieren, der die spezifische Zeichenfolge „Azure-Authentifizierungs-Token“ im Beschreibungsfeld enthält, um das Ereignistelemetrie zu mimizieren, das ein automatisiertes System möglicherweise meldet, wenn es eine solche Exfiltration erkennt.

• Regressionstests-Skript: Da wir das tatsächliche Azure-Backend nicht leicht dazu veranlassen können, eine spezifische bösartige Beschreibungszeichenfolge zu erzeugen, ohne einen realen Einbruch, simulieren wir die Anwesenheit des Protokolls im Telemetriestrom (oft in BAS durch Injektion eines synthetischen Protokolls in den Arbeitsbereich erledigt).

  # Synthetische Protokollinjektion, um die Erkennung des Token-Exfiltration zu simulieren
  # Dies simuliert, dass das 'Description'-Feld mit der Zielzeichenfolge ausgefüllt wird.
  $LogEntry = @{
      TimeGenerated = (Get-Date).ToString("yyyy-MM-ddTHH:mm:ssZ")
      OperationName = "TokenExfiltrationDetected"
      Result = "Success"
      Description = "Malware-Aktivität erkannt: Azure-Authentifizierungstoken wurden von einem lokalen Prozess exfiltriert."
      Identity = "malicious-python-hook@attacker.com"
  }
  
  Write-Host "Synthetische Telemetrie zur Validierung der Erkennungsregel einspritzen..."
  # In einem realen BAS würde dies die Log Analytics Data Collector API aufrufen
  # Zu Simulationszwecken stellen wir den resultierenden Protokolleintrag dar:
  $LogEntry | ConvertTo-Json

• Aufräum-Befehle:

  # Wenn synthetische Protokolle über die API injiziert wurden, löschen Sie die spezifische Korrelations-ID
  # Für diese Simulation wurden keine dauerhaften Änderungen am Azure-Tenant vorgenommen.
  Write-Host "Aufräumen abgeschlossen. Keine dauerhaften Angreifer-Artefakte verbleiben."