Shy Hulud đang lan tỏa qua npm trong hệ sinh thái JavaScript.

Mã độc “沙虫(Shai Hulud)” nhắm vào hệ sinh thái phát triển JavaScript đang tiếp tục phát triển, và mức độ tấn công chuỗi cung ứng phần mềm đã được xác nhận là đã nâng cao hơn nữa. Phân tích mới nhất cho thấy mã độc này đã vượt qua mức độ đơn thuần xâm nhập vào từng gói phần mềm, có khả năng biến các nhà phát triển thành những phương tiện lây nhiễm không nhận thức và liên tục, với hệ thống tự động mở rộng.

Theo báo cáo công khai của công ty chuyên về an ninh Expel, biến thể gần đây của sâu cát có cấu trúc tự động lây nhiễm môi trường phát triển và tái lây lan thông qua các bảng đăng ký npm mà họ quản lý. Mã độc này sẽ thực thi gói npm chứa virus trong giai đoạn cài đặt, thực hiện quy trình lây nhiễm theo hai bước. Đầu tiên, nếu môi trường mục tiêu chưa cài đặt “Bun” runtime JavaScript, nó sẽ tự động cài đặt; sau đó, thông qua tải trọng được che giấu phức tạp, nó sẽ dụ dỗ thực hiện đánh cắp thông tin xác thực, rò rỉ dữ liệu và lây nhiễm lại trong nền.

Biến thể lần này đặc biệt đáng chú ý vì cách thu thập thông tin của nó rất tinh vi. Nó đã sử dụng các hệ thống quản lý bí mật của cơ sở hạ tầng đám mây chính như AWS Secrets Manager, Microsoft Azure Key Vault, Google Cloud Secret Manager để trích xuất thêm dữ liệu nhạy cảm. Đã xác nhận rằng nó cũng sẽ thu thập đầy đủ các mã thông báo phát hành NPM, thông tin xác thực GitHub và thậm chí là khóa đám mây trên chính hệ thống cục bộ. Công cụ được sử dụng trong quá trình này là TruffleHog, một công cụ có khả năng tự động tìm kiếm thông tin bí mật mã hóa cứng từ mã nguồn, tệp cấu hình, hồ sơ Git, v.v.

Chiến thuật điển hình nhất của sâu cát là lạm dụng cơ sở hạ tầng GitHub. Khác với cách kết nối mã độc trước đây đến máy chủ điều khiển (C2), mã độc này sẽ tải thông tin bị đánh cắp lên kho lưu trữ công khai và đăng ký thiết bị bị nhiễm làm trình chạy tự quản lý của GitHub Actions. Điều này cho phép truy cập từ xa liên tục từ bên ngoài, kẻ tấn công sử dụng tài khoản của nhà phát triển bị nhiễm để tiêm mã độc vào các gói khác và mở rộng phạm vi lây nhiễm bằng cách tự động đăng ký phiên bản đã thay đổi lại vào npm.

Báo cáo cho biết, tính đến thời điểm hiện tại, ước tính có hơn 25.000 kho bị nhiễm, với hàng trăm gói phần mềm bị ảnh hưởng. Trong đó có những công cụ phổ biến mà cộng đồng mã nguồn mở cũng sử dụng rộng rãi.

Expel thông qua trường hợp này cảnh báo rằng “tầng tin cậy” của an ninh chuỗi cung ứng phần mềm không còn là khu vực an toàn. Mặc dù Sandworm đã tấn công hệ sinh thái JavaScript, nhưng các cộng đồng ngôn ngữ khác như Python ( PyPI ), Ruby ( RubyGems ), và PHP ( Composer ), với nền tảng tin cậy tương tự, cũng rất có thể bị phơi bày trước các cuộc tấn công tương tự. Sự xuất hiện của mã độc tự phát trong hệ sinh thái công cụ phát triển có thể gây ra các mối đe dọa kéo dài và rộng hơn trong tương lai, điều này cần được cảnh giác.