Các cuộc tấn công chuỗi cung ứng vào phần mềm mã nguồn mở đang trở nên mất kiểm soát.

Đây là một tuần bận rộn đối với các cuộc tấn công chuỗi cung ứng nhắm vào phần mềm nguồn mở có sẵn trong các kho công cộng, với việc vi phạm thành công nhiều tài khoản nhà phát triển dẫn đến việc các gói độc hại bị đẩy đến những người dùng không nghi ngờ.

Mục tiêu mới nhất, theo như công ty bảo mật Socket, là mã JavaScript có sẵn trên kho lưu trữ npm. Tổng cộng có 10 gói có sẵn từ trang npm thuộc cơ quan tài năng toàn cầu Toptal chứa phần mềm độc hại và đã được tải xuống khoảng 5.000 lần trước khi cuộc tấn công chuỗi cung ứng bị phát hiện. Các gói đã được gỡ bỏ. Đây là cuộc tấn công chuỗi cung ứng thứ ba mà Socket quan sát được vào npm trong tuần qua.

Đầu độc giếng

Các tin tặc đằng sau cuộc tấn công đã kéo nó ra bằng cách xâm nhập Toptal Lừa GitHub Organization đầu tiên và từ đó sử dụng quyền truy cập đó để xuất bản các gói độc hại trên npm.

Các nhà nghiên cứu vẫn không biết chính xác cuộc tấn công hoạt động như thế nào và mối quan hệ chính xác giữa các thay đổi kho lưu trữ GitHub và việc xuất bản các gói trên npm. Socket cho biết trong một email rằng việc xuất bản npm “có thể xảy ra thông qua GitHub Actions hoặc mã thông báo npm được lưu trữ, có thể truy cập được sau khi Tổ chức GitHub bị vi phạm.” GitHub và npm thường được liên kết trong quy trình làm việc, cho phép xuất bản các gói npm sau khi tổ chức GitHub bị tấn công.

“Cuộc tấn công có thể bắt nguồn từ quyền truy cập GitHub bị xâm phạm cho phép sửa đổi cả kho lưu trữ và xuất bản npm hoặc từ các vectơ xâm phạm riêng biệt ảnh hưởng độc lập đến cả hai nền tảng, các nhà nghiên cứu của Socket đã viết thứ tư. “Nếu không có bằng chứng pháp y bổ sung, việc xác định trình tự và mối quan hệ chính xác giữa các sự kiện này vẫn còn nhiều thách thức.”

Toptal vẫn chưa cho biết tài khoản của họ đã bị xâm phạm như thế nào. Đại diện công ty đã không trả lời email yêu cầu.

Các malicious tải trọng được đưa vào các gói có hai giai đoạn. Đầu tiên, mã đã trích xuất mã thông báo xác thực GitHub của mục tiêu và gửi nó đến điểm cuối do kẻ tấn công kiểm soát tại webhook.site miền. Các mã thông báo này đã cho phép những kẻ tấn công truy cập liên tục vào kho GitHub của mục tiêu, từ đó có thể được sử dụng trong các cuộc tấn công chuỗi cung ứng tiếp theo.

Lệnh gọi trích xuất là:

Sau khi thông tin xác thực được lọc ra, tải trọng đã cố gắng xóa toàn bộ hệ thống tệp của thiết bị của mục tiêu. Tập lệnh chứa các lệnh phá hủy hệ thống tệp trên hệ điều hành Unix hoặc Windows. Lệnh Unix được sử dụng là:

Cờ –no-preserve-root được thiết kế đặc biệt để ghi đè các biện pháp bảo vệ an toàn thường ngăn chặn việc xóa thư mục gốc.

Tập lệnh postinstall bao gồm lệnh phá hủy tương đương với Windows là:

Ổ cắm đã xuất bản a báo cáo riêng Thứ Tư về nhiều cuộc tấn công chuỗi cung ứng hơn, một cuộc tấn công nhắm vào người dùng npm và một cuộc tấn công khác nhắm vào người dùng PyPI. Tính đến thứ Tư, bốn gói độc hại—three được xuất bản tới npm và gói thứ tư trên PyPI—collectively đã được tải xuống hơn 56.000 lần. Socket cho biết họ đang làm việc để loại bỏ chúng.

Khi được cài đặt, các gói “bí mật tích hợp chức năng giám sát vào môi trường của nhà phát triển, cho phép ghi lại khóa, chụp màn hình, lấy dấu vân tay, truy cập webcam và đánh cắp thông tin xác thực, các nhà nghiên cứu của ” Socket viết. Họ nói thêm rằng phần mềm độc hại đã theo dõi và nắm bắt hoạt động của người dùng và truyền nó đến cơ sở hạ tầng do kẻ tấn công kiểm soát. Socket đã sử dụng thuật ngữ phần mềm độc hại giám sát để nhấn mạnh chiến thuật quan sát bí mật và lọc dữ liệu “trong bối cảnh phụ thuộc độc hại.”

Thứ sáu tuần trước, Ổ cắm báo cáo cuộc tấn công thứ ba. Cái này đã xâm phạm một tài khoản trên npm và sử dụng quyền truy cập để tạo mã độc bên trong ba gói có sẵn trên trang web. Sự thỏa hiệp xảy ra sau khi những kẻ tấn công lấy thành công mã thông báo thông tin xác thực mà nhà phát triển đã sử dụng để xác thực trang web.

Những kẻ tấn công đã lấy được thông tin xác thực thông qua một cuộc tấn công lừa đảo có chủ đích mà Socket đã tiết lộ giờ trước đó. Email hướng dẫn người nhận đăng nhập thông qua một URL trên npnjs.com. Trang web này là sự giả mạo lỗi chính tả của tên miền npmjs.com chính thức. Để làm cho cuộc tấn công thuyết phục hơn, URL lừa đảo chứa trường mã thông báo bắt chước mã thông báo npm sử dụng để xác thực. URL lừa đảo có định dạng