Analyse d'un incident récent de ver auto-propageant dans un écosystème de packages

La chaîne d'approvisionnement logicielle reste une cible privilégiée pour les adversaires sophistiqués, et un incident récent rappelle avec force sa fragilité. Une attaque significative de la chaîne d'approvisionnement a impacté de nombreux packages à travers plusieurs éditeurs apparemment sans lien. Cet incident, caractérisé par un ver auto-propageant, a exposé des vulnérabilités critiques dans la manière dont les développeurs consomment et font confiance aux composants open-source.

Que s'est-il passé ?

L'attaque a commencé par la compromission d'un compte de mainteneur sur une plateforme d'hébergement de code populaire. Plus précisément, le mainteneur d'une bibliothèque largement utilisée, connue pour le stockage clé-valeur et des millions de téléchargements mensuels, a été ciblé. Cette compromission initiale a fourni aux attaquants l'accès nécessaire pour injecter du code malveillant. Les attaquants ont poussé des fichiers malveillants directement vers la branche main des dépôts affectés et ont immédiatement publié de nouvelles versions. Cette méthode a garanti que les versions empoisonnées étaient publiées sur le registre de packages avec une provenance valide, semblant être signées par des pipelines automatisés, contournant ainsi certaines vérifications d'intégrité traditionnelles.

La charge utile malveillante, identifiée comme un ver auto-propageant, a été conçue pour voler des identifiants et se propager de manière autonome. Elle a exploité des identifiants de registre de packages volés pour créer des portes dérobées dans des packages co-détenus, élargissant considérablement la portée de l'attaque. Le ver a récupéré dynamiquement des domaines de Commandement et Contrôle (C2) en utilisant un mécanisme de registre décentralisé, indiquant une infrastructure sophistiquée et résiliente. La compromission initiale a introduit des charges utiles de persistance IDE, ancrant davantage l'accès de l'attaquant.

Parmi les packages impactés figuraient des packages populaires avec des millions de téléchargements mensuels. L'impact total s'est étendu à des packages avec un nombre cumulé substantiel de téléchargements mensuels. Les attaquants ont utilisé une identité compromise pour introduire ces versions malveillantes, affectant un écosystème proéminent et s'étendant à d'autres mainteneurs et organisations.

Pourquoi ce schéma se répète-t-il ?

La récurrence des compromissions majeures de la chaîne d'approvisionnement, en particulier au sein des gestionnaires de packages, est enracinée dans plusieurs défis systémiques. Les registres centralisés sont des artères critiques pour le développement logiciel moderne, mais leur immense utilité en fait également des cibles attrayantes. Le volume même de packages et de dépendances, souvent imbriqués sur de nombreuses couches, crée une surface d'attaque expansive difficile à surveiller de manière exhaustive. Les développeurs intègrent fréquemment des packages sans auditer entièrement leur code, faisant confiance à la communauté et aux mainteneurs de packages.

La confiance implicite dans la chaîne d'approvisionnement open-source est à la fois sa plus grande force et sa vulnérabilité la plus significative.

De plus, les pratiques de sécurité des mainteneurs individuels, souvent bénévoles, peuvent varier considérablement. Un seul compte compromis, comme on l'a vu dans cet incident, peut avoir des effets en aval catastrophiques. La facilité avec laquelle des versions malveillantes peuvent être publiées avec une provenance apparemment valide, en particulier lorsqu'elles exploitent des comptes de mainteneurs compromis et des pipelines CI/CD automatisés, rend la détection difficile. La capacité de l'attaquant à utiliser la technologie de registre décentralisé pour une infrastructure C2 dynamique démontre également une évolution des techniques d'évasion, rendant l'analyse statique et la mise sur liste noire traditionnelle moins efficaces.

Le manuel de l'attaquant étape par étape

1. Accès initial et compromission du compte : L'attaque a commencé par la compromission d'un compte de mainteneur sur une plateforme d'hébergement de code populaire, ciblant spécifiquement l'individu responsable d'une bibliothèque largement utilisée. Il s'agit d'une première étape critique, car elle accorde un accès direct aux dépôts de code source et aux mécanismes de publication.
2. Injection de code malveillant : Une fois l'accès établi, les attaquants ont injecté un ver auto-propageant et voleur d'identifiants dans la branche main des dépôts ciblés. Cette injection comprenait des charges utiles de persistance IDE pour assurer un accès continu.
3. Publication de nouvelle version avec provenance valide : Les attaquants ont ensuite immédiatement publié de nouvelles versions des packages compromis. En poussant directement vers main et en exploitant les pipelines automatisés existants, ces versions malveillantes ont été publiées sur le registre de packages avec une provenance valide, apparaissant légitimes aux vérifications automatisées et aux développeurs.
4. Auto-propagation et vol d'identifiants : Le ver injecté a été conçu pour voler les identifiants du registre de packages. En utilisant ces identifiants volés, il a automatiquement créé des portes dérobées dans tous les autres packages pour lesquels le mainteneur compromis avait des droits de publication, élargissant rapidement la portée de l'attaque.
5. Infrastructure C2 dynamique : Le malware a utilisé un mécanisme de registre décentralisé pour récupérer dynamiquement ses domaines de Commandement et Contrôle (C2). Cette technique rend plus difficile pour les défenseurs de bloquer les communications C2 par le biais d'IP statiques ou de listes noires de domaines, car l'infrastructure C2 peut changer à la volée.
6. Distribution généralisée : Les packages compromis, certains avec des millions de téléchargements mensuels, ont ensuite été distribués à une vaste base d'utilisateurs. Les observations d'un agent logiciel spécifique effectuant des appels malveillants ont indiqué la propagation et l'exécution de la charge utile.

Ce que les défenseurs ont manqué

À la suite d'une compromission aussi étendue, il est crucial d'analyser où les couches défensives ont pu faire défaut. La compromission initiale du compte met en évidence une faiblesse potentielle dans l'application de l'authentification multi-facteurs (MFA) ou la résistance au phishing. Même avec la MFA, des techniques de phishing ou de détournement de session sophistiquées peuvent contourner ces contrôles. La capacité de pousser directement vers main et de publier immédiatement de nouvelles versions suggère un manque de processus robustes de révision de code ou de portes d'approbation pour les mises à jour critiques de packages, en particulier pour les bibliothèques très populaires.

De plus, les outils d'analyse de sécurité automatisés ont pu avoir du mal à détecter la charge utile malveillante, en particulier si elle était obfusquée ou conçue pour s'exécuter uniquement dans des conditions spécifiques. Le mécanisme C2 dynamique utilisant un registre décentralisé est une technique avancée que les détections réseau traditionnelles pourraient ne pas signaler immédiatement. Le volume même des dépendances et la vitesse de propagation ont également submergé la capacité de nombreuses organisations à réagir en temps réel, soulignant le besoin d'un partage plus rapide des renseignements sur les menaces et de capacités de réponse automatisées.

Une liste de contrôle défensive pratique

Les organisations peuvent considérablement renforcer leurs défenses contre des attaques similaires de la chaîne d'approvisionnement en mettant en œuvre une approche multicouche :

• Appliquer une MFA forte et une authentification résistante au phishing : Rendre obligatoire la MFA basée sur le matériel (par exemple, les clés FIDO2) pour tous les comptes de développeurs, en particulier ceux ayant des privilèges de publication sur les registres de packages.
• Mettre en œuvre des flux de travail de révision et d'approbation de code : Établir des politiques strictes de révision de code exigeant plusieurs approbations pour les modifications apportées aux packages critiques, en particulier avant de publier de nouvelles versions sur les registres publics.
• Analyse des dépendances et génération de SBOM : Analyser régulièrement toutes les dépendances à la recherche de vulnérabilités connues et de code malveillant. Générer et maintenir une nomenclature logicielle (SBOM) pour comprendre votre graphe de dépendances complet.
• Surveillance d'exécution et analyse comportementale : Déployer des outils de protection automatique des applications d'exécution (RASP) ou similaires pour surveiller le comportement des packages dans les environnements de production et de développement, en recherchant des activités anormales telles que des connexions réseau inattendues ou des modifications du système de fichiers.
• Plateformes de sécurité de la chaîne d'approvisionnement : Utiliser des plateformes dédiées à la sécurité de la chaîne d'approvisionnement qui peuvent analyser l'intégrité des packages, identifier les modèles de publication suspects et fournir des alertes en temps réel sur les dépendances compromises.
• Privilège minimal pour l'accès au registre : Mettre en œuvre le principe du privilège minimal pour les comptes de registre de packages, en s'assurant que les développeurs n'ont que les autorisations nécessaires à leurs rôles.
• Simulation offensive automatisée : Exécuter régulièrement des tests de sécurité offensifs qui simulent des attaques de la chaîne d'approvisionnement, y compris le vol d'identifiants et l'injection de packages malveillants, pour identifier les lacunes dans vos défenses avant que les attaquants ne le fassent.

Comment des tests offensifs modernes auraient pu détecter cela

Les mesures défensives traditionnelles réagissent souvent aux menaces connues. Les tests offensifs modernes, cependant, recherchent de manière proactive les vulnérabilités en simulant des techniques d'attaque réelles. Dans le contexte de cet incident, une plateforme de test offensif autonome aurait pu identifier plusieurs faiblesses critiques. Par exemple, en simulant un compte de mainteneur compromis, elle aurait pu tenter de pousser du code malveillant et de publier de nouvelles versions, révélant si les portes automatisées existantes, les révisions de code ou les vérifications de provenance auraient empêché la publication malveillante.

De plus, une telle plateforme aurait pu émuler le comportement du ver voleur d'identifiants, tentant d'exfiltrer des identifiants factices ou de se propager à d'autres packages simulés. Cela aurait testé l'efficacité de la surveillance d'exécution, des contrôles de sortie réseau et des systèmes de détection comportementale. La plateforme aurait pu générer des preuves de concept (PoC) exécutables pour ces vecteurs d'attaque, démontrant l'exploitabilité et l'impact, permettant aux équipes de sécurité de corriger les vulnérabilités avant qu'elles ne soient exploitées dans la nature. Notre plateforme est spécialisée dans les tests offensifs autonomes avec des PoC exécutables, conçus pour défier continuellement la posture de sécurité d'une organisation contre les menaces sophistiquées, fournissant des informations exploitables sur les faiblesses potentielles de la chaîne d'approvisionnement.

Ce qu'il faut surveiller ensuite

Il est peu probable que cet incident soit un événement isolé. La tendance vers des malwares plus sophistiqués et auto-propageants exploitant la confiance de la chaîne d'approvisionnement est croissante. Les défenseurs doivent anticiper plusieurs modèles de menaces en évolution. Attendez-vous à une attention continue sur la compromission des comptes de mainteneurs, potentiellement par le biais d'ingénierie sociale plus avancée ou d'exploits zero-day ciblant les outils de développement. L'utilisation d'une infrastructure C2 dynamique, potentiellement au-delà des technologies décentralisées actuelles vers d'autres services éphémères, est également susceptible d'augmenter.

De plus, les attaquants continueront de cibler les packages et les écosystèmes populaires au-delà d'un seul, y compris d'autres registres proéminents. Le flou entre les environnements de développement et d'exploitation, avec des outils comme les IDE et les pipelines CI/CD devenant des parties intégrantes de la surface d'attaque, signifie que la sécurisation de l'ensemble du flux de travail des développeurs est primordiale. Les organisations doivent prioriser la surveillance continue, la chasse proactive aux menaces et l'intégration des pratiques de sécurité offensive dans leur cycle de vie de développement sécurisé pour garder une longueur d'avance sur ces menaces de chaîne d'approvisionnement en évolution rapide.