Die Schadsoftware zielt nach den vorliegenden Analysen auf lokale Zugangsdaten, GitHub- und NPM-Tokens sowie auf Geheimnisse aus AWS, Azure, GCP, GitHub Actions, Kubernetes und weiteren Cloud-Diensten. Die erbeuteten Daten werden über öffentliche GitHub-Repositories ausgeschleust, die durchgängig die fest hinterlegte Beschreibung „A Mini Shai-Hulud has Appeared" tragen.
Zusätzlich verfügt die Malware über einen Verbreitungsmechanismus. Laut Aikido prüft sie, ob GitHub-Actions-Release-Workflows vorhanden sind. Anschließend verändert sie Paket-Tarballs, fügt die Schadlast hinzu, passt die Versionsnummern an, verpackt sie neu und nutzt gestohlene GitHub-Actions-Tokens, um die manipulierten Pakete zu veröffentlichen. Das SAP-NPM-Ökosystem wurde nach Einschätzung von Aikido vermutlich über einen kompromittierten NPM-Token getroffen, der über CircleCI in Pull-Request-Builds offengelegt war.
Onapsis stuft den Angriff als erhebliche Bedrohung für Entwickler und Organisationen ein, die SAP CAP einsetzen – das Framework für S/4HANA-Erweiterungen, Fiori-App-Backends, MTAs und Integrationsabläufe. „Jeder SAP-Kunde mit JavaScript-Entwicklung zieht möglicherweise @sap/- und @cap-js/-Pakete in seine Build-Pipelines, häufig mit unscharfen Versionsbereichen und vielen transitiven Abhängigkeiten", merkt Onapsis an.
Alle Organisationen, die SAP-Business-Technology-Platform-Workflows, SAP CAP oder MTA-basierte Deployment-Pipelines nutzen, sollten prüfen, ob sie die bösartigen Paketversionen während des Zeitfensters der Verfügbarkeit installiert haben.
Das Sicherheitsunternehmen Wiz führt den Vorfall auf Grundlage technischer Überschneidungen und operativer Muster auf die Gruppe TeamPCP zurück, die sich in den vergangenen Monaten zu mehreren Supply-Chain-Angriffen bekannt hat. „Diese Einschätzung beruht auf einem gemeinsam genutzten öffentlichen RSA-Schlüssel, mit dem die abgeflossenen Geheimnisse verschlüsselt werden. Das bedeutet, dass derselbe private Schlüssel die Daten entschlüsseln würde, womit der Zugriff auf die exfiltrierten Daten auf TeamPCP beschränkt bleibt", erklärt Wiz.