การวิเคราะห์เหตุการณ์หนอนแพร่กระจายเองล่าสุดในระบบนิเวศของแพ็กเกจ

ซัพพลายเชนซอฟต์แวร์ยังคงเป็นเป้าหมายหลักสำหรับผู้ไม่หวังดีที่มีความซับซ้อน และเหตุการณ์ล่าสุดนี้เป็นเครื่องเตือนใจที่ชัดเจนถึงความเปราะบางของมัน การโจมตีซัพพลายเชนครั้งสำคัญส่งผลกระทบต่อแพ็กเกจจำนวนมากจากผู้เผยแพร่หลายรายที่ดูเหมือนจะไม่มีความเกี่ยวข้องกัน เหตุการณ์นี้ ซึ่งมีลักษณะเป็นหนอนแพร่กระจายตัวเอง ได้เผยให้เห็นช่องโหว่ที่สำคัญในวิธีการที่นักพัฒนาใช้และเชื่อถือคอมโพเนนต์โอเพนซอร์ส

เกิดอะไรขึ้น?

การโจมตีเริ่มต้นด้วยการประนีประนอมบัญชีของผู้ดูแลบนแพลตฟอร์มโฮสติ้งโค้ดยอดนิยม โดยเฉพาะอย่างยิ่ง ผู้ดูแลไลบรารีที่ใช้กันอย่างแพร่หลาย ซึ่งเป็นที่รู้จักสำหรับการจัดเก็บคีย์-ค่า และมีการดาวน์โหลดหลายล้านครั้งต่อเดือน ตกเป็นเป้าหมาย การประนีประนอมเริ่มต้นนี้ทำให้ผู้โจมตีสามารถเข้าถึงเพื่อฉีดโค้ดที่เป็นอันตรายได้ ผู้โจมตีได้ผลักดันไฟล์ที่เป็นอันตรายโดยตรงไปยังสาขา main ของที่เก็บข้อมูลที่ได้รับผลกระทบ และตัดการเผยแพร่ใหม่ทันที วิธีนี้ทำให้มั่นใจได้ว่าเวอร์ชันที่เป็นอันตรายถูกเผยแพร่ไปยังรีจิสทรีแพ็กเกจพร้อมหลักฐานที่ถูกต้อง ดูเหมือนจะลงนามโดยไปป์ไลน์อัตโนมัติ ซึ่งเป็นการหลีกเลี่ยงการตรวจสอบความสมบูรณ์แบบดั้งเดิมบางอย่าง

เพย์โหลดที่เป็นอันตราย ซึ่งถูกระบุว่าเป็นหนอนแพร่กระจายตัวเอง ถูกออกแบบมาเพื่อขโมยข้อมูลประจำตัวและแพร่กระจายโดยอัตโนมัติ มันใช้ประโยชน์จากข้อมูลประจำตัวของรีจิสทรีแพ็กเกจที่ถูกขโมยเพื่อติดตั้งแบ็กดอร์ในแพ็กเกจที่ร่วมเป็นเจ้าของ ซึ่งขยายขอบเขตของการโจมตีอย่างมีนัยสำคัญ หนอนได้ดึงโดเมน Command and Control (C2) แบบไดนามิกโดยใช้กลไกบัญชีแยกประเภทแบบกระจายอำนาจ ซึ่งบ่งชี้ถึงโครงสร้างพื้นฐานที่ซับซ้อนและยืดหยุ่น การประนีประนอมเริ่มต้นได้แนะนำเพย์โหลดการคงอยู่ของ IDE ซึ่งเป็นการยึดครองการเข้าถึงของผู้โจมตีให้แน่นแฟ้นยิ่งขึ้น

ในบรรดาแพ็กเกจที่ได้รับผลกระทบมีแพ็กเกจยอดนิยมที่มีการดาวน์โหลดหลายล้านครั้งต่อเดือน ผลกระทบทั้งหมดครอบคลุมแพ็กเกจที่มีจำนวนการดาวน์โหลดสะสมต่อเดือนจำนวนมาก ผู้โจมตีใช้ข้อมูลประจำตัวที่ถูกประนีประนอมเพื่อแนะนำเวอร์ชันที่เป็นอันตรายเหล่านี้ ซึ่งส่งผลกระทบต่อระบบนิเวศที่โดดเด่นและขยายไปยังผู้ดูแลและองค์กรอื่นๆ

เหตุใดรูปแบบนี้จึงเกิดขึ้นซ้ำๆ

การเกิดซ้ำของการประนีประนอมซัพพลายเชนครั้งใหญ่ โดยเฉพาะอย่างยิ่งภายในตัวจัดการแพ็กเกจ มีรากฐานมาจากความท้าทายเชิงระบบหลายประการ รีจิสทรีแบบรวมศูนย์เป็นเส้นเลือดสำคัญสำหรับการพัฒนาซอฟต์แวร์สมัยใหม่ แต่ประโยชน์มหาศาลของมันก็ทำให้พวกมันเป็นเป้าหมายที่น่าดึงดูด ปริมาณแพ็กเกจและการพึ่งพากันจำนวนมาก ซึ่งมักจะซ้อนกันหลายชั้น สร้างพื้นผิวการโจมตีที่กว้างขวางซึ่งยากต่อการตรวจสอบอย่างครอบคลุม นักพัฒนามักจะดึงแพ็กเกจเข้ามาโดยไม่ได้ตรวจสอบโค้ดอย่างละเอียด โดยเชื่อถือชุมชนและผู้ดูแลแพ็กเกจ

ความไว้วางใจโดยปริยายในซัพพลายเชนโอเพนซอร์สเป็นทั้งจุดแข็งที่ยิ่งใหญ่ที่สุดและช่องโหว่ที่สำคัญที่สุด

ยิ่งไปกว่านั้น การปฏิบัติงานด้านความปลอดภัยของผู้ดูแลแต่ละราย ซึ่งมักเป็นอาสาสมัคร อาจแตกต่างกันอย่างมาก บัญชีที่ถูกประนีประนอมเพียงบัญชีเดียว ดังที่เห็นในเหตุการณ์นี้ อาจมีผลกระทบที่รุนแรงตามมา ความง่ายในการเผยแพร่เวอร์ชันที่เป็นอันตรายพร้อมหลักฐานที่ดูเหมือนถูกต้อง โดยเฉพาะอย่างยิ่งเมื่อใช้ประโยชน์จากบัญชีผู้ดูแลที่ถูกประนีประนอมและไปป์ไลน์ CI/CD อัตโนมัติ ทำให้การตรวจจับเป็นเรื่องที่ท้าทาย ความสามารถของผู้โจมตีในการใช้เทคโนโลยีบัญชีแยกประเภทแบบกระจายอำนาจสำหรับโครงสร้างพื้นฐาน C2 แบบไดนามิกยังแสดงให้เห็นถึงวิวัฒนาการของเทคนิคการหลบเลี่ยง ทำให้การวิเคราะห์แบบคงที่และการขึ้นบัญชีดำแบบดั้งเดิมมีประสิทธิภาพน้อยลง

แผนการเล่นของผู้โจมตีทีละขั้นตอน

1. การเข้าถึงเริ่มต้นและการประนีประนอมบัญชี: การโจมตีเริ่มต้นด้วยการประนีประนอมบัญชีของผู้ดูแลบนแพลตฟอร์มโฮสติ้งโค้ดยอดนิยม โดยเฉพาะอย่างยิ่งการกำหนดเป้าหมายบุคคลที่รับผิดชอบไลบรารีที่ใช้กันอย่างแพร่หลาย นี่เป็นขั้นตอนแรกที่สำคัญ เนื่องจากมันให้สิทธิ์การเข้าถึงโดยตรงไปยังที่เก็บซอร์สโค้ดและกลไกการเผยแพร่
2. การฉีดโค้ดที่เป็นอันตราย: เมื่อมีการเข้าถึงแล้ว ผู้โจมตีได้ฉีดหนอนแพร่กระจายตัวเองที่ขโมยข้อมูลประจำตัวเข้าไปในสาขา main ของที่เก็บข้อมูลที่ตกเป็นเป้าหมาย การฉีดนี้รวมถึงเพย์โหลดการคงอยู่ของ IDE เพื่อให้แน่ใจว่ามีการเข้าถึงอย่างต่อเนื่อง
3. การเผยแพร่เวอร์ชันใหม่พร้อมหลักฐานที่ถูกต้อง: ผู้โจมตีได้ตัดการเผยแพร่ใหม่ของแพ็กเกจที่ถูกประนีประนอมทันที โดยการผลักดันโดยตรงไปยัง main และใช้ประโยชน์จากไปป์ไลน์อัตโนมัติที่มีอยู่ เวอร์ชันที่เป็นอันตรายเหล่านี้ถูกเผยแพร่ไปยังรีจิสทรีแพ็กเกจพร้อมหลักฐานที่ถูกต้อง ซึ่งดูเหมือนถูกต้องตามกฎหมายสำหรับเครื่องมือตรวจสอบอัตโนมัติและนักพัฒนา
4. การแพร่กระจายตัวเองและการขโมยข้อมูลประจำตัว: หนอนที่ถูกฉีดถูกออกแบบมาเพื่อขโมยข้อมูลประจำตัวของรีจิสทรีแพ็กเกจ โดยใช้ข้อมูลประจำตัวที่ถูกขโมยนี้ มันได้ติดตั้งแบ็กดอร์โดยอัตโนมัติในทุกแพ็กเกจอื่น ๆ ที่ผู้ดูแลที่ถูกประนีประนอมมีสิทธิ์เผยแพร่ ซึ่งเป็นการขยายขอบเขตของการโจมตีอย่างรวดเร็ว
5. โครงสร้างพื้นฐาน C2 แบบไดนามิก: มัลแวร์ใช้กลไกบัญชีแยกประเภทแบบกระจายอำนาจเพื่อดึงโดเมน Command and Control (C2) แบบไดนามิก เทคนิคนี้ทำให้ผู้ป้องกันยากขึ้นในการบล็อกการสื่อสาร C2 ผ่าน IP แบบคงที่หรือการขึ้นบัญชีดำโดเมน เนื่องจากโครงสร้างพื้นฐาน C2 สามารถเปลี่ยนแปลงได้ทันที
6. การกระจายในวงกว้าง: แพ็กเกจที่ถูกประนีประนอม ซึ่งบางแพ็กเกจมีการดาวน์โหลดหลายล้านครั้งต่อเดือน ถูกแจกจ่ายไปยังผู้ใช้จำนวนมาก การสังเกตตัวแทนซอฟต์แวร์เฉพาะที่ทำการเรียกที่เป็นอันตรายบ่งชี้ถึงการแพร่กระจายและการดำเนินการของเพย์โหลด

สิ่งที่ผู้ป้องกันพลาดไป

หลังจากการประนีประนอมที่แพร่หลายเช่นนี้ การวิเคราะห์ว่าชั้นการป้องกันอาจล้มเหลวที่ใดเป็นสิ่งสำคัญ การประนีประนอมบัญชีเริ่มต้นเน้นย้ำถึงจุดอ่อนที่อาจเกิดขึ้นในการบังคับใช้การยืนยันตัวตนแบบหลายปัจจัย (MFA) หรือการป้องกันฟิชชิ่ง แม้จะมี MFA เทคนิคฟิชชิ่งที่ซับซ้อนหรือการจี้เซสชันก็สามารถหลีกเลี่ยงการควบคุมเหล่านี้ได้ ความสามารถในการผลักดันโดยตรงไปยัง main และเผยแพร่เวอร์ชันใหม่ทันทีบ่งชี้ถึงการขาดกระบวนการตรวจสอบโค้ดที่แข็งแกร่งหรือเกตเวย์การอนุมัติสำหรับการอัปเดตแพ็กเกจที่สำคัญ โดยเฉพาะอย่างยิ่งสำหรับไลบรารียอดนิยม

นอกจากนี้ เครื่องมือสแกนความปลอดภัยอัตโนมัติอาจประสบปัญหาในการตรวจจับเพย์โหลดที่เป็นอันตราย โดยเฉพาะอย่างยิ่งหากมีการปกปิดหรือออกแบบมาเพื่อดำเนินการภายใต้เงื่อนไขเฉพาะเท่านั้น กลไก C2 แบบไดนามิกที่ใช้บัญชีแยกประเภทแบบกระจายอำนาจเป็นเทคนิคขั้นสูงที่การตรวจจับบนเครือข่ายแบบดั้งเดิมอาจไม่แจ้งเตือนทันที ปริมาณการพึ่งพากันจำนวนมากและความเร็วของการแพร่กระจายยังทำให้ความสามารถของหลายองค์กรในการตอบสนองแบบเรียลไทม์ถูกครอบงำ ซึ่งเน้นย้ำถึงความจำเป็นในการแบ่งปันข้อมูลภัยคุกคามที่รวดเร็วขึ้นและความสามารถในการตอบสนองอัตโนมัติ

รายการตรวจสอบการป้องกันเชิงปฏิบัติ

องค์กรสามารถเสริมสร้างการป้องกันจากการโจมตีซัพพลายเชนที่คล้ายคลึงกันได้อย่างมากโดยการนำแนวทางแบบหลายชั้นมาใช้:

• บังคับใช้ MFA ที่แข็งแกร่งและการยืนยันตัวตนที่ทนทานต่อฟิชชิ่ง: กำหนดให้ใช้ MFA ที่รองรับฮาร์ดแวร์ (เช่น คีย์ FIDO2) สำหรับบัญชีนักพัฒนาทั้งหมด โดยเฉพาะอย่างยิ่งผู้ที่มีสิทธิ์เผยแพร่บนรีจิสทรีแพ็กเกจ
• ใช้เวิร์กโฟลว์การตรวจสอบโค้ดและการอนุมัติ: กำหนดนโยบายการตรวจสอบโค้ดที่เข้มงวดซึ่งต้องมีการอนุมัติหลายครั้งสำหรับการเปลี่ยนแปลงแพ็กเกจที่สำคัญ โดยเฉพาะอย่างยิ่งก่อนที่จะเผยแพร่เวอร์ชันใหม่ไปยังรีจิสทรีสาธารณะ
• การสแกนการพึ่งพากันและการสร้าง SBOM: สแกนการพึ่งพากันทั้งหมดอย่างสม่ำเสมอเพื่อหาช่องโหว่ที่ทราบและโค้ดที่เป็นอันตราย สร้างและบำรุงรักษา Software Bill of Materials (SBOM) เพื่อทำความเข้าใจกราฟการพึ่งพากันทั้งหมดของคุณ
• การตรวจสอบรันไทม์และการวิเคราะห์พฤติกรรม: ใช้ Runtime Application Self-Protection (RASP) หรือเครื่องมือที่คล้ายกันเพื่อตรวจสอบพฤติกรรมของแพ็กเกจในสภาพแวดล้อมการผลิตและการพัฒนา โดยมองหากิจกรรมที่ผิดปกติ เช่น การเชื่อมต่อเครือข่ายที่ไม่คาดคิด หรือการแก้ไขระบบไฟล์
• แพลตฟอร์มความปลอดภัยซัพพลายเชน: ใช้แพลตฟอร์มความปลอดภัยซัพพลายเชนโดยเฉพาะที่สามารถวิเคราะห์ความสมบูรณ์ของแพ็กเกจ ระบุรูปแบบการเผยแพร่ที่น่าสงสัย และให้การแจ้งเตือนแบบเรียลไทม์เกี่ยวกับแพ็กเกจที่ถูกประนีประนอม
• สิทธิ์น้อยที่สุดสำหรับการเข้าถึงรีจิสทรี: ใช้หลักการของสิทธิ์น้อยที่สุดสำหรับบัญชีรีจิสทรีแพ็กเกจ เพื่อให้แน่ใจว่านักพัฒนามีสิทธิ์ที่จำเป็นสำหรับบทบาทของตนเท่านั้น
• การจำลองการโจมตีอัตโนมัติ: เรียกใช้การทดสอบความปลอดภัยเชิงรุกอย่างสม่ำเสมอที่จำลองการโจมตีซัพพลายเชน รวมถึงการขโมยข้อมูลประจำตัวและการฉีดแพ็กเกจที่เป็นอันตราย เพื่อระบุช่องโหว่ในการป้องกันของคุณก่อนที่ผู้โจมตีจะทำ

การทดสอบเชิงรุกสมัยใหม่จะตรวจจับสิ่งนี้ได้อย่างไร

มาตรการป้องกันแบบดั้งเดิมมักจะตอบสนองต่อภัยคุกคามที่รู้จัก อย่างไรก็ตาม การทดสอบเชิงรุกสมัยใหม่จะค้นหาช่องโหว่อย่างกระตือรือร้นโดยการจำลองเทคนิคการโจมตีในโลกแห่งความเป็นจริง ในบริบทของเหตุการณ์นี้ แพลตฟอร์มการทดสอบเชิงรุกอัตโนมัติสามารถระบุจุดอ่อนที่สำคัญหลายประการได้ ตัวอย่างเช่น โดยการจำลองบัญชีผู้ดูแลที่ถูกประนีประนอม มันสามารถพยายามผลักดันโค้ดที่เป็นอันตรายและเผยแพร่เวอร์ชันใหม่ ซึ่งจะเปิดเผยว่าเกตเวย์อัตโนมัติที่มีอยู่ การตรวจสอบโค้ด หรือการตรวจสอบหลักฐานจะป้องกันการเผยแพร่ที่เป็นอันตรายได้หรือไม่

ยิ่งไปกว่านั้น แพลตฟอร์มดังกล่าวสามารถเลียนแบบพฤติกรรมของหนอนขโมยข้อมูลประจำตัว โดยพยายามขโมยข้อมูลประจำตัวปลอมหรือแพร่กระจายไปยังแพ็กเกจจำลองอื่นๆ สิ่งนี้จะทดสอบประสิทธิภาพของการตรวจสอบรันไทม์ การควบคุมการออกจากเครือข่าย และระบบตรวจจับพฤติกรรม แพลตฟอร์มสามารถสร้าง Proof-of-Concepts (PoCs) ที่สามารถดำเนินการได้สำหรับเวกเตอร์การโจมตีเหล่านี้ ซึ่งแสดงให้เห็นถึงความเป็นไปได้ในการโจมตีและผลกระทบ ทำให้ทีมรักษาความปลอดภัยสามารถแก้ไขช่องโหว่ก่อนที่จะถูกโจมตีในวงกว้าง แพลตฟอร์มของเราเชี่ยวชาญในการทดสอบเชิงรุกอัตโนมัติด้วย PoCs ที่สามารถดำเนินการได้ ซึ่งออกแบบมาเพื่อท้าทายสถานะความปลอดภัยขององค์กรอย่างต่อเนื่องต่อภัยคุกคามที่ซับซ้อน โดยให้ข้อมูลเชิงลึกที่นำไปใช้ได้จริงเกี่ยวกับจุดอ่อนของซัพพลายเชนที่อาจเกิดขึ้น

สิ่งที่ต้องจับตาดูต่อไป

เหตุการณ์นี้ไม่น่าจะเป็นเหตุการณ์โดดเดี่ยว แนวโน้มของมัลแวร์ที่ซับซ้อนมากขึ้นและแพร่กระจายตัวเองโดยใช้ประโยชน์จากความไว้วางใจในซัพพลายเชนกำลังเพิ่มขึ้น ผู้ป้องกันต้องคาดการณ์รูปแบบภัยคุกคามที่พัฒนาไปหลายประการ คาดว่าจะเห็นการมุ่งเน้นอย่างต่อเนื่องในการประนีประนอมบัญชีผู้ดูแล ซึ่งอาจผ่านการวิศวกรรมสังคมที่ซับซ้อนมากขึ้นหรือการโจมตีแบบ Zero-day ที่กำหนดเป้าหมายเครื่องมือสำหรับนักพัฒนา การใช้โครงสร้างพื้นฐาน C2 แบบไดนามิก ซึ่งอาจก้าวข้ามเทคโนโลยีแบบกระจายอำนาจในปัจจุบันไปยังบริการชั่วคราวอื่นๆ ก็มีแนวโน้มที่จะเพิ่มขึ้นเช่นกัน

นอกจากนี้ ผู้โจมตีจะยังคงกำหนดเป้าหมายแพ็กเกจและระบบนิเวศยอดนิยมที่นอกเหนือจากเพียงหนึ่งเดียว รวมถึงรีจิสทรีที่โดดเด่นอื่นๆ เส้นแบ่งที่พร่ามัวระหว่างสภาพแวดล้อมการพัฒนาและการปฏิบัติงาน ด้วยเครื่องมือเช่น IDEs และไปป์ไลน์ CI/CD ที่กลายเป็นส่วนสำคัญของพื้นผิวการโจมตี หมายความว่าการรักษาความปลอดภัยเวิร์กโฟลว์ของนักพัฒนาทั้งหมดเป็นสิ่งสำคัญยิ่ง องค์กรต้องให้ความสำคัญกับการตรวจสอบอย่างต่อเนื่อง การล่าภัยคุกคามเชิงรุก และการบูรณาการแนวปฏิบัติด้านความปลอดภัยเชิงรุกเข้ากับวงจรการพัฒนาความปลอดภัยของตน เพื่อให้ก้าวล้ำหน้าภัยคุกคามซัพพลายเชนที่พัฒนาอย่างรวดเร็วเหล่านี้