Verme malicioso compromete domínios de criptomoedas em ataque à cadeia de suprimentos

Em 24 de novembro, a empresa de segurança Aikido detectou uma segunda onda do worm autorreplicante Shai-Hulud no npm, comprometendo 492 pacotes com um total combinado de 132 milhões de downloads mensais.

O ataque atingiu grandes ecossistemas, incluindo AsyncAPI, PostHog, Postman, Zapier e ENS, explorando as últimas semanas antes do prazo de 9 de dezembro do npm para revogar tokens de autenticação legados.

A fila de triagem da Aikido sinalizou a intrusão por volta das 3h16 UTC, quando versões maliciosas do go-template do AsyncAPI e 36 pacotes relacionados começaram a se espalhar pelo registro.

O invasor rotulou os repositórios de credenciais roubadas com a descrição “Sha1-Hulud: The Second Coming”, mantendo a marca teatral da campanha de setembro.

O worm instala o runtime Bun durante a configuração do pacote e, em seguida, executa um código malicioso que procura por segredos expostos em ambientes de desenvolvedores usando o TruffleHog.

Chaves de API comprometidas, tokens do GitHub e credenciais do npm são publicadas em repositórios públicos com nomes aleatórios, e o malware tenta se propagar enviando novas versões infectadas para até 100 pacotes adicionais, cinco vezes a escala do ataque de setembro.

Evolução técnica e carga destrutiva

A iteração de novembro introduz várias modificações em relação ao ataque de setembro.
O malware agora cria repositórios com nomes gerados aleatoriamente para os dados roubados, em vez de usar nomes fixos, dificultando os esforços de remoção.

O código de configuração instala o Bun via setup_bun.js antes de executar a carga principal em bun_environment.js, que contém a lógica do worm e as rotinas de exfiltração de credenciais.

A adição mais destrutiva: se o malware não conseguir autenticar no GitHub ou npm usando credenciais roubadas, ele apaga todos os arquivos no diretório home do usuário.

A análise da Aikido revelou erros de execução que limitaram a propagação do ataque. O código de empacotamento que copia o worm completo para novos pacotes às vezes falha em incluir o bun_environment.js, deixando apenas o script de instalação do Bun sem a carga maliciosa.

Apesar dessas falhas, os comprometimentos iniciais atingiram alvos de alto valor com grande exposição a jusante.

Os pacotes do AsyncAPI dominaram a primeira onda, com 36 lançamentos comprometidos, incluindo @asyncapi/cli, @asyncapi/parser e @asyncapi/generator.

O PostHog foi comprometido às 4h11 UTC, com versões infectadas do posthog-js, posthog-node e dezenas de plugins. Os pacotes do Postman chegaram às 5h09 UTC.

O comprometimento do Zapier afetou @zapier/zapier-sdk, zapier-platform-cli e zapier-platform-core, enquanto o comprometimento do ENS afetou @ensdomains/ensjs, @ensdomains/ens-contracts e ethereum-ens.

Criação de branch no GitHub sugere acesso ao nível do repositório

A equipe do AsyncAPI descobriu um branch malicioso em seu repositório CLI criado imediatamente antes dos pacotes comprometidos aparecerem no npm.

O branch continha uma versão implantada do malware Shai-Hulud, indicando que o invasor obteve acesso de escrita ao próprio repositório, e não apenas sequestrou tokens do npm.

Essa escalada reflete a técnica usada no comprometimento original do Nx, em que invasores modificaram repositórios de código-fonte para injetar código malicioso em pipelines legítimos de build.

A Aikido estima que 26.300 repositórios do GitHub agora contenham credenciais roubadas marcadas com a descrição “Sha1-Hulud: The Second Coming”.

Os repositórios contêm segredos expostos por ambientes de desenvolvedores que executaram os pacotes comprometidos, incluindo credenciais de serviços em nuvem, tokens de CI/CD e chaves de autenticação para APIs de terceiros.

A natureza pública dos vazamentos amplifica o dano: qualquer invasor monitorando os repositórios pode coletar credenciais em tempo real e lançar ataques secundários.

Momento do ataque e mitigação

O momento coincide com o anúncio do npm em 15 de novembro de que revogará tokens clássicos de autenticação em 9 de dezembro.

A escolha do invasor de lançar uma última campanha em larga escala antes do prazo sugere que ele reconheceu que a janela para comprometimentos baseados em tokens estava se fechando. A linha do tempo da Aikido mostra que a primeira onda do Shai-Hulud começou em 16 de setembro.

O “Second Coming” de 24 de novembro representa a última oportunidade do invasor de explorar tokens legados antes que a migração do npm corte esse acesso.

A Aikido recomenda que as equipes de segurança auditem todas as dependências dos ecossistemas afetados, especialmente os pacotes Zapier, ENS, AsyncAPI, PostHog e Postman instalados ou atualizados após 24 de novembro.

As organizações devem rotacionar todas as credenciais do GitHub, npm, nuvem e CI/CD usadas em ambientes onde esses pacotes estavam presentes, e buscar no GitHub por repositórios com a descrição “Sha1-Hulud: The Second Coming” para determinar se credenciais internas foram expostas.

Desabilitar scripts postinstall do npm em pipelines de CI previne execuções futuras durante a instalação, e fixar versões de pacotes com arquivos de lock limita a exposição a novos lançamentos comprometidos.

O post Malicious worm compromises crypto domains in supply-chain attack apareceu primeiro em CryptoSlate.