Shai-Hulud начал искать учётные данные в 469 местах
Новая версия вредоносного червя Shai-Hulud расширила список путей для поиска секретов с 189 до 469. В его поле зрения попали среды разработки, CI/CD-инструменты, облачные конфигурации и настройки ИИ-инструментов.
Исследователи GitGuardian в начале августа обнаружили вариант инфостилера-червя Shai-Hulud, который ищет учётные данные в 469 расположениях. Ранние версии вредоносного ПО проверяли 189 путей, пишет The Hacker News.
Расширенный список охватывает среды разработки, инструменты непрерывной интеграции и доставки, облачные конфигурации, а также конфигурационные файлы ИИ-инструментов. Помимо привычных источников вроде файлов .env, истории командной оболочки и настроек менеджеров пакетов, вредоносное ПО может искать секреты в кэшах CLI-утилит, настройках IDE и конфигурациях CI/CD.
Цель такого сбора — использовать найденные токены и ключи для дальнейшего распространения атаки через связанные системы. Например, токен разработчика может открыть доступ к исходному коду, ключ облачной платформы — к инфраструктуре, а учётные данные для публикации пакетов — позволить выпустить вредоносную версию через доверенный канал распространения.
Особую опасность представляют постоянные ключи публикации пакетов. Они дают право размещать обновления, которые затем могут автоматически получать разработчики, сборочные системы и организации, использующие соответствующий пакет. В материале отмечается, что для таких операций следует сокращать использование долгоживущих токенов в пользу краткоживущей аутентификации, в том числе через OpenID Connect.
Авторы также указывают, что обнаруженный секрет сам по себе ещё не определяет уровень угрозы: часть ключей может быть отозвана или давать доступ лишь к тестовым средам. Приоритет при устранении инцидента должны получать действующие учётные данные, открывающие доступ к промышленной инфраструктуре, системам развёртывания, базам данных или публикации пакетов.