Neue Shai Hulud-Variante befällt Hunderte npm-Pakete

Im npm-Ökosystem ist eine neue Angriffswelle aufgetaucht. Die Schadsoftware trägt den Namen „Chaindrop“ und gehört zur Familie der Shai-Hulud-Malware, die Sicherheitsforschern bereits seit längerer Zeit bekannt ist.

Den Ausgangspunkt bildete laut der Sicherheitsfirma Aikido ein gekaperter GitHub-Account. Betroffen war ein Maintainer, der unter anderem für die Key-Value-Speicherbibliothek keyv zuständig ist. Da dieser Entwickler zusätzlich mehrere weitere stark genutzte Pakete pflegt, konnten die Angreifer ihren Schadcode gleich in die komplette Paketfamilie einschleusen. Zusammen kommen diese Pakete auf rund 127 Millionen Downloads pro Woche.

Aikido zufolge sind mittlerweile 444 Pakete in insgesamt 1.381 Versionen betroffen. Diese Pakete verzeichnen zusammen mehr als zwei Milliarden Downloads im Monat. Zu den betroffenen Projekten gehören unter anderem:

• keyv
• flat-cache in Version 6.1.24
• file-entry-cache in Version 11.1.6
• cacheable-request in Version 13.0.20
• cacheable in Version 2.5.1
• @cacheable/memory in Version 2.2.1
• cache-manager in Version 7.2.10
• @cacheable/node-cache in Version 3.1.2
• @cacheable/utils in Version 2.5.1
• @cacheable/net in Version 2.1.1
• ecto in Version 5.0.1

So funktioniert die Schadsoftware

Nach Angaben von Aikido durchsucht Chaindrop befallene Systeme gezielt nach Zugangsdaten. Diese werden anschließend verschlüsselt und in ein öffentlich zugängliches GitHub-Repository hochgeladen. Der Name dieses Repositories nimmt Bezug auf die Malware-Familie, der Chaindrop entstammt.

Die Verschlüsselung erfolgt so, dass nur die Angreifer selbst mit ihrem privaten RSA-Schlüssel auf die erbeuteten Daten zugreifen können. Dadurch bleiben die gestohlenen Informationen zwar öffentlich sichtbar, sind für Außenstehende aber praktisch nutzlos.

Zusätzlich enthält die Schadsoftware eine Funktion zur eigenständigen Weiterverbreitung. Findet sich in einem befallenen System ein gültiger npm-Token, fragt Chaindrop über eine Schnittstelle der npm-Registry ab, welche Pakete sich mit diesem Token veröffentlichen lassen. Anschließend lädt die Schadsoftware die aktuellen Versionen dieser Pakete herunter, entpackt sie und infiziert sie ebenfalls. Auf diese Weise kann sich Chaindrop automatisch auf weitere Projekte anderer Maintainer ausbreiten, sobald diese ein bereits betroffenes Paket eingebunden haben.

Unter den gesuchten Zugangsdaten befinden sich unter anderem:

• npm-Tokens
• GitHub-Tokens
• AWS-Zugangsdaten
• Kubernetes-Secrets
• Tokens für HashiCorp Vault
• Zugangsdaten für Stripe und Slack

Shai-Hulud sorgt seit Monaten für Probleme

Chaindrop ist bei weitem nicht der erste Vorfall rund um diese Malware-Familie. Bereits im Mai dieses Jahres veröffentlichte die für Shai-Hulud verantwortliche Gruppe TeamPCP den Quellcode ihrer Schadsoftware öffentlich auf GitHub.

Zwar wurde das entsprechende Repository schnell wieder entfernt, Sicherheitsforscher von Datadog Security Labs gehen jedoch davon aus, dass zahlreiche Kopien des Codes weiterhin kursieren. Die Untersuchung des veröffentlichten Codes ergab demnach ein ausgereiftes Angriffswerkzeug, das fast alle bekannten Vorgehensweisen der Gruppe abdeckt.

In den folgenden Monaten wurden wiederholt neue Varianten der Malware entdeckt.

(red)