Phân tích sự cố Worm tự lan truyền gần đây trong hệ sinh thái gói phần mềm

Chuỗi cung ứng phần mềm vẫn là mục tiêu hàng đầu của các đối thủ phức tạp, và một sự cố gần đây là lời nhắc nhở rõ ràng về sự mong manh của nó. Một cuộc tấn công chuỗi cung ứng đáng kể đã tác động đến nhiều gói phần mềm trên nhiều nhà xuất bản dường như không liên quan. Sự cố này, được đặc trưng bởi một worm tự lan truyền, đã phơi bày các lỗ hổng nghiêm trọng trong cách các nhà phát triển sử dụng và tin tưởng các thành phần mã nguồn mở.

Điều gì đã xảy ra?

Cuộc tấn công bắt đầu bằng việc tài khoản của một người duy trì trên một nền tảng lưu trữ mã phổ biến bị xâm nhập. Cụ thể, người duy trì một thư viện được sử dụng rộng rãi, nổi tiếng về lưu trữ khóa-giá trị và hàng triệu lượt tải xuống hàng tháng, đã bị nhắm mục tiêu. Sự xâm nhập ban đầu này đã cung cấp cho kẻ tấn công quyền truy cập cần thiết để tiêm mã độc. Kẻ tấn công đã đẩy các tệp độc hại trực tiếp vào nhánh main của các kho lưu trữ bị ảnh hưởng và ngay lập tức tạo các bản phát hành mới. Phương pháp này đảm bảo rằng các phiên bản bị nhiễm độc được xuất bản lên kho gói phần mềm với bằng chứng hợp lệ, dường như được ký bởi các quy trình tự động, do đó vượt qua một số kiểm tra tính toàn vẹn truyền thống.

Payload độc hại, được xác định là một worm tự lan truyền, được thiết kế để đánh cắp thông tin đăng nhập và tự động lây lan. Nó đã lợi dụng thông tin đăng nhập kho gói phần mềm bị đánh cắp để cài backdoor vào các gói phần mềm đồng sở hữu, mở rộng đáng kể phạm vi tấn công. Worm đã truy xuất động các miền Command and Control (C2) bằng cách sử dụng cơ chế sổ cái phi tập trung, cho thấy một cơ sở hạ tầng tinh vi và kiên cường. Sự xâm nhập ban đầu đã đưa vào các payload duy trì quyền truy cập trong IDE, củng cố thêm quyền truy cập của kẻ tấn công.

Trong số các gói phần mềm bị ảnh hưởng có những gói phổ biến với hàng triệu lượt tải xuống hàng tháng. Tổng tác động trải rộng trên các gói phần mềm với tổng số lượt tải xuống hàng tháng tích lũy đáng kể. Kẻ tấn công đã sử dụng một danh tính bị xâm phạm để đưa các phiên bản độc hại này vào, ảnh hưởng đến một hệ sinh thái nổi bật và mở rộng sang các nhà duy trì và tổ chức khác.

Tại sao mô hình này cứ lặp lại

Sự tái diễn của các vụ xâm phạm chuỗi cung ứng lớn, đặc biệt trong các trình quản lý gói, bắt nguồn từ một số thách thức mang tính hệ thống. Các kho lưu trữ tập trung là huyết mạch quan trọng cho sự phát triển phần mềm hiện đại, nhưng tiện ích to lớn của chúng cũng khiến chúng trở thành mục tiêu hấp dẫn. Khối lượng khổng lồ của các gói phần mềm và các phụ thuộc, thường được lồng ghép nhiều lớp sâu, tạo ra một bề mặt tấn công rộng lớn khó có thể giám sát toàn diện. Các nhà phát triển thường kéo các gói phần mềm mà không kiểm tra đầy đủ mã của chúng, tin tưởng vào cộng đồng và những người duy trì gói phần mềm.

Sự tin tưởng ngầm vào chuỗi cung ứng mã nguồn mở vừa là sức mạnh lớn nhất vừa là lỗ hổng đáng kể nhất của nó.

Hơn nữa, các thực tiễn bảo mật của từng người duy trì, thường là tình nguyện viên, có thể rất khác nhau. Một tài khoản bị xâm phạm duy nhất, như đã thấy trong sự cố này, có thể gây ra những hậu quả thảm khốc. Việc các phiên bản độc hại có thể được xuất bản dễ dàng với bằng chứng dường như hợp lệ, đặc biệt khi lợi dụng các tài khoản người duy trì bị xâm phạm và các quy trình CI/CD tự động, khiến việc phát hiện trở nên khó khăn. Khả năng của kẻ tấn công trong việc sử dụng công nghệ sổ cái phi tập trung cho cơ sở hạ tầng C2 động cũng thể hiện sự phát triển trong các kỹ thuật né tránh, làm cho phân tích tĩnh và danh sách đen truyền thống kém hiệu quả hơn.

Sổ tay tấn công từng bước của kẻ tấn công

1. Truy cập ban đầu và xâm phạm tài khoản: Cuộc tấn công bắt đầu bằng việc tài khoản của một người duy trì trên một nền tảng lưu trữ mã phổ biến bị xâm phạm, cụ thể nhắm mục tiêu vào cá nhân chịu trách nhiệm về một thư viện được sử dụng rộng rãi. Đây là bước đầu tiên quan trọng, vì nó cấp quyền truy cập trực tiếp vào các kho mã nguồn và cơ chế xuất bản.
2. Tiêm mã độc: Sau khi thiết lập quyền truy cập, kẻ tấn công đã tiêm một worm tự lan truyền đánh cắp thông tin đăng nhập vào nhánh main của các kho lưu trữ được nhắm mục tiêu. Việc tiêm này bao gồm các payload duy trì quyền truy cập trong IDE để đảm bảo quyền truy cập liên tục.
3. Xuất bản bản phát hành mới với bằng chứng hợp lệ: Kẻ tấn công sau đó ngay lập tức tạo các bản phát hành mới của các gói phần mềm bị xâm phạm. Bằng cách đẩy trực tiếp vào main và tận dụng các quy trình tự động hiện có, các phiên bản độc hại này đã được xuất bản lên kho gói phần mềm với bằng chứng hợp lệ, xuất hiện hợp pháp đối với các kiểm tra tự động và các nhà phát triển.
4. Tự lan truyền và đánh cắp thông tin đăng nhập: Worm được tiêm vào được thiết kế để đánh cắp thông tin đăng nhập kho gói phần mềm. Sử dụng các thông tin đăng nhập bị đánh cắp này, nó tự động cài backdoor vào mọi gói phần mềm khác mà người duy trì bị xâm phạm có quyền xuất bản, nhanh chóng mở rộng phạm vi tấn công.
5. Cơ sở hạ tầng C2 động: Phần mềm độc hại đã sử dụng cơ chế sổ cái phi tập trung để truy xuất động các miền Command and Control (C2) của nó. Kỹ thuật này khiến các nhà phòng thủ khó chặn các giao tiếp C2 thông qua IP tĩnh hoặc danh sách đen miền, vì cơ sở hạ tầng C2 có thể thay đổi ngay lập tức.
6. Phân phối rộng rãi: Các gói phần mềm bị xâm phạm, một số có hàng triệu lượt tải xuống hàng tháng, sau đó đã được phân phối cho một lượng lớn người dùng. Các quan sát về một tác nhân phần mềm cụ thể thực hiện các cuộc gọi độc hại cho thấy sự lây lan và thực thi của payload.

Những gì các nhà phòng thủ đã bỏ lỡ

Sau một sự cố xâm phạm rộng rãi như vậy, điều quan trọng là phải phân tích xem các lớp phòng thủ có thể đã thất bại ở đâu. Việc xâm phạm tài khoản ban đầu làm nổi bật một điểm yếu tiềm ẩn trong việc thực thi xác thực đa yếu tố (MFA) hoặc khả năng chống lừa đảo. Ngay cả với MFA, các kỹ thuật lừa đảo hoặc chiếm đoạt phiên phức tạp vẫn có thể vượt qua các biện pháp kiểm soát này. Khả năng đẩy trực tiếp vào main và ngay lập tức xuất bản các bản phát hành mới cho thấy thiếu các quy trình xem xét mã mạnh mẽ hoặc các cổng phê duyệt cho các bản cập nhật gói phần mềm quan trọng, đặc biệt đối với các thư viện rất phổ biến.

Hơn nữa, các công cụ quét bảo mật tự động có thể đã gặp khó khăn trong việc phát hiện payload độc hại, đặc biệt nếu nó bị che giấu hoặc được thiết kế để chỉ thực thi trong các điều kiện cụ thể. Cơ chế C2 động sử dụng sổ cái phi tập trung là một kỹ thuật tiên tiến mà các phát hiện dựa trên mạng truyền thống có thể không gắn cờ ngay lập tức. Khối lượng lớn các phụ thuộc và tốc độ lây lan cũng đã làm cho khả năng phản ứng theo thời gian thực của nhiều tổ chức bị quá tải, nhấn mạnh nhu cầu chia sẻ thông tin tình báo về mối đe dọa nhanh hơn và khả năng phản ứng tự động.

Danh sách kiểm tra phòng thủ thực tế

Các tổ chức có thể tăng cường đáng kể khả năng phòng thủ của mình chống lại các cuộc tấn công chuỗi cung ứng tương tự bằng cách triển khai một phương pháp tiếp cận đa lớp:

• Thực thi MFA mạnh mẽ và xác thực chống lừa đảo: Bắt buộc sử dụng MFA dựa trên phần cứng (ví dụ: khóa FIDO2) cho tất cả các tài khoản nhà phát triển, đặc biệt là những tài khoản có đặc quyền xuất bản trên các kho gói phần mềm.
• Triển khai quy trình xem xét mã và phê duyệt: Thiết lập các chính sách xem xét mã nghiêm ngặt yêu cầu nhiều phê duyệt cho các thay đổi đối với các gói phần mềm quan trọng, đặc biệt trước khi xuất bản các phiên bản mới lên các kho công khai.
• Quét phụ thuộc và tạo SBOM: Thường xuyên quét tất cả các phụ thuộc để tìm các lỗ hổng đã biết và mã độc hại. Tạo và duy trì Hóa đơn Vật liệu Phần mềm (SBOM) để hiểu biểu đồ phụ thuộc hoàn chỉnh của bạn.
• Giám sát thời gian chạy và phân tích hành vi: Triển khai bảo vệ ứng dụng tự chạy (RASP) hoặc các công cụ tương tự để giám sát hành vi gói phần mềm trong môi trường sản xuất và phát triển, tìm kiếm các hoạt động bất thường như kết nối mạng không mong muốn hoặc sửa đổi hệ thống tệp.
• Nền tảng bảo mật chuỗi cung ứng: Sử dụng các nền tảng bảo mật chuỗi cung ứng chuyên dụng có thể phân tích tính toàn vẹn của gói phần mềm, xác định các mẫu xuất bản đáng ngờ và cung cấp cảnh báo theo thời gian thực về các phụ thuộc bị xâm phạm.
• Quyền hạn tối thiểu cho quyền truy cập kho lưu trữ: Triển khai nguyên tắc quyền hạn tối thiểu cho các tài khoản kho gói phần mềm, đảm bảo các nhà phát triển chỉ có các quyền cần thiết cho vai trò của họ.
• Mô phỏng tấn công tự động: Thường xuyên chạy các thử nghiệm bảo mật tấn công mô phỏng các cuộc tấn công chuỗi cung ứng, bao gồm đánh cắp thông tin đăng nhập và tiêm gói phần mềm độc hại, để xác định các lỗ hổng trong hệ thống phòng thủ của bạn trước khi kẻ tấn công thực hiện.

Cách kiểm thử tấn công hiện đại có thể đã phát hiện ra điều này

Các biện pháp phòng thủ truyền thống thường phản ứng với các mối đe dọa đã biết. Tuy nhiên, kiểm thử tấn công hiện đại chủ động tìm kiếm các lỗ hổng bằng cách mô phỏng các kỹ thuật tấn công trong thế giới thực. Trong bối cảnh sự cố này, một nền tảng kiểm thử tấn công tự động có thể đã xác định một số điểm yếu nghiêm trọng. Ví dụ, bằng cách mô phỏng một tài khoản người duy trì bị xâm phạm, nó có thể đã cố gắng đẩy mã độc và xuất bản các phiên bản mới, tiết lộ liệu các cổng tự động hiện có, các đánh giá mã hoặc kiểm tra bằng chứng có ngăn chặn bản phát hành độc hại hay không.

Hơn nữa, một nền tảng như vậy có thể đã mô phỏng hành vi của worm đánh cắp thông tin đăng nhập, cố gắng đánh cắp thông tin đăng nhập giả hoặc lây lan sang các gói phần mềm mô phỏng khác. Điều này sẽ kiểm tra hiệu quả của việc giám sát thời gian chạy, kiểm soát thoát mạng và hệ thống phát hiện hành vi. Nền tảng có thể đã tạo ra các Bằng chứng Khái niệm (PoC) có thể thực thi cho các vectơ tấn công này, chứng minh khả năng khai thác và tác động, cho phép các nhóm bảo mật vá các lỗ hổng trước khi chúng bị khai thác trong thực tế. Nền tảng của chúng tôi chuyên về kiểm thử tấn công tự động với các PoC có thể thực thi, được thiết kế để liên tục thách thức tư thế bảo mật của một tổ chức chống lại các mối đe dọa phức tạp, cung cấp những hiểu biết sâu sắc có thể hành động về các điểm yếu tiềm ẩn trong chuỗi cung ứng.

Những gì cần theo dõi tiếp theo

Sự cố này khó có thể là một sự kiện đơn lẻ. Xu hướng phần mềm độc hại tự lan truyền phức tạp hơn, lợi dụng sự tin cậy trong chuỗi cung ứng đang gia tăng. Các nhà phòng thủ phải dự đoán một số mẫu mối đe dọa đang phát triển. Hãy mong đợi tiếp tục tập trung vào việc xâm phạm tài khoản người duy trì, có thể thông qua các kỹ thuật tấn công phi kỹ thuật tiên tiến hơn hoặc các lỗ hổng zero-day nhắm mục tiêu vào các công cụ phát triển. Việc sử dụng cơ sở hạ tầng C2 động, có thể vượt ra ngoài các công nghệ phi tập trung hiện tại sang các dịch vụ tạm thời khác, cũng có thể sẽ gia tăng.

Ngoài ra, kẻ tấn công sẽ tiếp tục nhắm mục tiêu vào các gói phần mềm và hệ sinh thái phổ biến ngoài một cái, bao gồm các kho lưu trữ nổi bật khác. Ranh giới mờ nhạt giữa môi trường phát triển và vận hành, với các công cụ như IDE và quy trình CI/CD trở thành một phần không thể thiếu của bề mặt tấn công, có nghĩa là việc bảo mật toàn bộ quy trình làm việc của nhà phát triển là tối quan trọng. Các tổ chức phải ưu tiên giám sát liên tục, săn lùng mối đe dọa chủ động và tích hợp các thực tiễn bảo mật tấn công vào vòng đời phát triển bảo mật của họ để đi trước các mối đe dọa chuỗi cung ứng đang phát triển nhanh chóng này.