Die Veröffentlichung des Quellcodes erfolgte über GitHub-Repositories unter mehreren Nutzerkonten, ergänzt durch detaillierte Anleitungen. In den Repositories fand sich auch die Botschaft „Shai–Hulud: Open Sourcing The Carnage" der Gruppe, die den Zweck der Freigabe offenlegt: weitere Angriffe auf Software-Lieferketten anzustacheln. Obwohl GitHub die ursprünglichen Repositories löschte, verbreiteten sich laut Datadog rasch zahlreiche Kopien.
Parallel dazu stießen Sicherheitsforscher auf einen Aufruf von TeamPCP und BreachForums zu einer „Supply-Chain-Challenge". Wer den Wurm einsetzt, Belege für ein Eindringen liefert und möglichst große nachgelagerte Schäden verursacht, soll mit Geldprämien belohnt werden.
„Diese beiden Ereignisse zusammen werden eine Phase der Innovation für Shai-Hulud auslösen und wahrscheinlich mehrere Varianten der Malware hervorbringen", sagte Ben Ronallo, leitender Cybersicherheitsingenieur bei Black Duck. TeamPCP drehe mit der Freigabe an jeden Interessierten den Regler „bis zum Anschlag" auf. Nach Angaben von Ox Security haben Bedrohungsakteure den Quellcode bereits verändert und in neuen Angriffen verwendet – möglich wurde die schnelle Eskalation durch die vollständigen Anleitungen zur Verbreitung der Malware.
Die Analyse von Datadog beschreibt ein modulares Framework aus Ladern, Modulen zum Abgreifen von Geheimnissen, einem Informationssammler, einem Dispatcher, Exfiltrationskomponenten und Mutatoren. Der Code zeigt aus früheren Shai-Hulud-Angriffen bekannte Merkmale: das gezielte Sammeln zahlreicher Entwickler- und Cloud-Zugangsdaten, API-Schlüssel, Tokens und anderer Geheimnisse, die Verschlüsselung der gesammelten Daten sowie deren Exfiltration an GitHub-Repositories und einen vordefinierten Command-and-Control-Server.
Den Forschern erlaubte der Quellcode zudem einen genaueren Blick auf den Persistenzmechanismus, den „Dead-Man-Switch" und die Mechanismen zur Vergiftung von GitHub-Repositories und NPM-Paketen. Bemerkenswert: Die kompilierten Artefakt-Hashes aus öffentlicher Berichterstattung lassen sich konstruktionsbedingt nicht reproduzieren, da für jeden Build eine neue zufällige Passphrase zur Verschlüsselung von Zeichenketten erzeugt wird. „Zwei Builds aus identischem Quellcode erzeugen unterschiedliche Binärdateien", warnt Datadog. Verteidiger könnten daher keine YARA-Regeln aus einem kompilierten Sample ableiten, die auf die nächste Variante passen.
Die Sicherheitsforscher raten Organisationen, sich auf einen anhaltenden und deutlichen Anstieg von Lieferketten-Kompromittierungen einzustellen. Jonathan Stross, Senior Product Manager bei Pathlock, geht davon aus, dass die von Shai-Hulud getriebenen Angriffe weiter mutieren werden. Betroffene Entwickler- und CI-Systeme sollten isoliert und neu aufgebaut, kompromittierte Zugangsdaten rotiert und das vertrauenswürdige Publishing über OIDC auf eng begrenzte Workflows und geschützte Branches beschränkt werden. Zudem empfiehlt er, GitHub-Actions festzupinnen und zu prüfen, das Installationsverhalten von Paketen zu überwachen und Build-Pipelines als produktionskritische Angriffsfläche zu behandeln.