先週発生した2度目のShai-Hulud攻撃により、NPM（Node Package Manager）レジストリ内の数百のパッケージが感染し、盗まれたデータが3万件のGitHubリポジトリに公開された結果、約40万件の生のシークレットが露出しました。
露出したシークレットのうち、有効であるとオープンソースのTruffleHogスキャンツールによって検証されたのは約1万件に過ぎないものの、クラウドセキュリティプラットフォームのWizの研究者によると、流出したNPMトークンの60%以上が12月1日時点でもなお有効な状態だったといいます。
Shai-Huludの脅威は9月中旬に出現し、自己増殖型のペイロードによって187個のNPMパッケージが侵害されました。このペイロードはTruffleHogを用いてアカウントトークンを特定し、パッケージに悪意あるスクリプトを注入し、自動的にプラットフォーム上へ公開していました。
2度目の攻撃では、マルウェアは800を超えるパッケージに影響を及ぼし（パッケージの感染した全バージョンを含む）、特定の条件が満たされた場合に被害者のホームディレクトリを消去する破壊的なメカニズムも含まれていました。
出典: Wiz
Wizの研究者は、Shai-Hulud 2.0攻撃によって3万件のGitHubリポジトリに拡散されたシークレットの漏えいを分析し、以下の種類のシークレットが露出していたことを突き止めました。
- 約70%のリポジトリに、GitHubのユーザー名とトークン、ファイルスナップショットを含むcontents.jsonファイルが存在
- その半数には、TruffleHogのスキャン結果を含むtruffleSecrets.jsonファイルが存在
- 80%のリポジトリには、OS情報、CI/CDメタデータ、npmパッケージメタデータ、GitHub認証情報を含むenvironment.jsonファイルが存在
- 400件のリポジトリには、GitHub Actionsのワークフローシークレットを含むactionsSecrets.jsonが存在
Wizは、マルウェアがTruffleHogを使用する際に「-only-verified」フラグを付けていなかったことを指摘しており、これは露出した40万件のシークレットが既知の形式に一致するものの、すでに無効化されていたり利用不能である可能性があることを意味します。
「シークレットデータは非常にノイズが多く、大規模な重複排除作業が必要ですが、それでもクラウド、NPMトークン、VCS認証情報など、数百件の有効なシークレットが含まれています」と、Wizは説明しています。
「現時点でも、これらの認証情報はさらなるサプライチェーン攻撃の現実的なリスクとなっています。例えば、流出したNPMトークンの60%以上がいまだに有効であることを確認しています。」
2万4,000件のenvironment.jsonファイルを分析したところ、その約半数がユニークであり、そのうち23%が開発者マシンに対応し、残りはCI/CDランナーや類似のインフラからのものでした。
研究者がまとめたデータによると、感染したマシンの大半（87%）はLinuxシステムであり、感染の大部分（76%）はコンテナ上で発生していました。
CI/CDプラットフォームの分布を見ると、GitHub Actionsが圧倒的に多く、次いでJenkins、GitLab CI、AWS CodeBuildが続きました。
出典: Wiz
感染分布を調査したところ、Wizの研究者は、最も多く利用されていたパッケージは@postman/[email protected]であり、次いで@asyncapi/[email protected]であることを突き止めました。この2つのパッケージだけで、全感染の60%以上を占めていました。
出典: Wiz
このような集中度の高さから、研究者らは、少数の重要パッケージが早期に特定・無力化されていれば、Shai-Huludの影響は大幅に軽減できた可能性があると述べています。
同様に、感染パターンに関しては、事例の99%がpreinstallイベントで実行されるnode setup_bun.jsに由来しており、ごく少数の例外はテスト目的の試行だったとみられます。
Wizは、Shai-Huludの背後にいる攻撃者が今後も手法を洗練・進化させ続けると考えており、これまでに収集された膨大な認証情報の宝庫を活用し、近い将来にさらなる攻撃の波が発生する可能性が高いと予測しています。
