剖析软件包生态系统中近期发生的自传播蠕虫事件

软件供应链仍然是复杂对手的主要目标，近期发生的一起事件再次严峻地提醒我们其脆弱性。一次重大的供应链攻击影响了多个看似不相关的发布者旗下的众多软件包。此次事件以自传播蠕虫为特征，暴露了开发者消费和信任开源组件方式中的关键漏洞。

发生了什么？

此次攻击始于一个流行代码托管平台上维护者账户的失陷。具体来说，一个广受欢迎的库（以其键值存储功能和每月数百万次下载量而闻名）的维护者成为了目标。这次初始入侵为攻击者注入恶意代码提供了必要的访问权限。攻击者将恶意文件直接推送到受影响仓库的 main 分支，并立即发布了新版本。这种方法确保了被污染的版本以有效的出处发布到软件包注册表，似乎由自动化管道签名，从而绕过了一些传统的完整性检查。

被识别为自传播蠕虫的恶意负载旨在窃取凭据并自主传播。它利用窃取的软件包注册表凭据来后门共同拥有的软件包，显著扩大了攻击范围。该蠕虫利用去中心化账本机制动态检索命令与控制（C2）域，这表明其基础设施复杂且具有弹性。初始入侵引入了IDE持久性负载，进一步巩固了攻击者的访问权限。

受影响的软件包中包括每月下载量达数百万次的流行软件包。总影响范围涵盖了累计月下载量巨大的软件包。攻击者使用被盗用的身份引入了这些恶意版本，影响了一个重要的生态系统，并波及到其他维护者和组织。

为什么这种模式一再重演

主要供应链漏洞（尤其是在软件包管理器中）的反复出现，根源在于几个系统性挑战。集中式注册表是现代软件开发的关键动脉，但其巨大的实用性也使其成为有吸引力的目标。软件包和依赖项的庞大数量，通常嵌套多层，形成了难以全面监控的广阔攻击面。开发者在不完全审计代码的情况下频繁引入软件包，信任社区和软件包维护者。

对开源供应链的隐式信任既是其最大的优势，也是其最显著的漏洞。

此外，个体维护者（通常是志愿者）的安全实践差异很大。正如本次事件所见，一个被攻破的账户可能会产生灾难性的下游影响。恶意版本能够以看似有效的出处轻松发布，尤其是在利用被攻破的维护者账户和自动化CI/CD管道时，这使得检测变得困难。攻击者利用去中心化账本技术构建动态C2基础设施的能力，也表明了规避技术的演进，使得静态分析和传统黑名单的效果降低。

攻击者的逐步策略

1. 初始访问和账户攻破： 攻击始于一个流行代码托管平台上维护者账户的攻破，具体目标是负责一个广受欢迎库的个人。这是关键的第一步，因为它授予了对源代码仓库和发布机制的直接访问权限。
2. 恶意代码注入： 建立访问权限后，攻击者将一个窃取凭据的自传播蠕虫注入到目标仓库的 main 分支。此注入包括IDE持久性负载，以确保持续访问。
3. 发布带有有效出处的新版本： 攻击者随后立即发布了受损软件包的新版本。通过直接推送到 main 并利用现有自动化管道，这些恶意版本以有效的出处发布到软件包注册表，对自动化检查和开发者来说显得合法。
4. 自传播和凭据窃取： 注入的蠕虫旨在窃取软件包注册表凭据。利用这些窃取的凭据，它自动后门了被攻破维护者拥有发布权限的所有其他软件包，迅速扩大了攻击范围。
5. 动态C2基础设施： 恶意软件利用去中心化账本机制动态检索其命令与控制（C2）域。这种技术使得防御者更难通过静态IP或域黑名单来阻止C2通信，因为C2基础设施可以实时变化。
6. 广泛传播： 受损软件包（其中一些每月下载量达数百万次）随后被分发给大量用户。对执行恶意调用的特定软件代理的观察表明了负载的传播和执行。

防御者错过了什么

在如此广泛的漏洞事件之后，分析防御层可能在哪里失效至关重要。初始账户攻破凸显了多因素认证（MFA）强制执行或网络钓鱼抵抗方面的潜在弱点。即使有MFA，复杂的网络钓鱼或会话劫持技术也能绕过这些控制。直接推送到 main 并立即发布新版本的能力，表明对关键软件包更新缺乏健壮的代码审查流程或审批门槛，特别是对于高度流行的库。

此外，自动化安全扫描工具可能难以检测恶意负载，特别是如果它被混淆或设计为仅在特定条件下执行。利用去中心化账本的动态C2机制是一种先进技术，传统基于网络的检测可能无法立即标记。依赖项的庞大数量和传播速度也使许多组织难以实时响应，这凸显了对更快威胁情报共享和自动化响应能力的需求。

实用的防御清单

组织可以通过实施多层方法显著增强对类似供应链攻击的防御：

• 强制执行强MFA和防网络钓鱼认证： 要求所有开发人员账户，特别是那些在软件包注册表上拥有发布权限的账户，强制使用硬件支持的MFA（例如FIDO2密钥）。
• 实施代码审查和审批工作流程： 建立严格的代码审查策略，要求对关键软件包的更改进行多重审批，尤其是在向公共注册表发布新版本之前。
• 依赖项扫描和SBOM生成： 定期扫描所有依赖项是否存在已知漏洞和恶意代码。生成并维护软件物料清单（SBOM），以了解您的完整依赖图。
• 运行时监控和行为分析： 部署运行时应用自保护（RASP）或类似工具，以监控生产和开发环境中的软件包行为，寻找异常活动，如意外网络连接或文件系统修改。
• 供应链安全平台： 利用专用的供应链安全平台，这些平台可以分析软件包完整性，识别可疑发布模式，并提供受损依赖项的实时警报。
• 注册表访问的最小权限： 对软件包注册表账户实施最小权限原则，确保开发人员仅拥有其角色所需的权限。
• 自动化攻击模拟： 定期运行攻击性安全测试，模拟供应链攻击，包括凭据窃取和恶意软件包注入，以便在攻击者发现之前识别防御中的漏洞。

现代攻击性测试本可以如何发现此问题

传统的防御措施通常是对已知威胁做出反应。然而，现代攻击性测试通过模拟真实的攻击技术，主动寻找漏洞。在此次事件中，一个自主攻击性测试平台本可以识别出几个关键弱点。例如，通过模拟一个被攻破的维护者账户，它可以尝试推送恶意代码并发布新版本，从而揭示现有的自动化门禁、代码审查或出处检查是否能够阻止恶意发布。

此外，此类平台本可以模拟窃取凭据蠕虫的行为，尝试窃取虚拟凭据或传播到其他模拟软件包。这将测试运行时监控、网络出口控制和行为检测系统的有效性。该平台可以为这些攻击向量生成可执行的概念验证（PoC），展示其可利用性和影响，从而使安全团队能够在漏洞被野外利用之前进行修补。我们的平台专注于使用可执行PoC进行自主攻击性测试，旨在持续挑战组织针对复杂威胁的安全态势，为潜在的供应链弱点提供可操作的见解。

接下来需要关注什么

此次事件不太可能是一个孤立事件。利用供应链信任的更复杂、自传播恶意软件的趋势正在增长。防御者必须预见几种不断演变的威胁模式。预计将继续关注维护者账户攻破，可能通过更高级的社会工程或针对开发者工具的零日漏洞。动态C2基础设施的使用，可能超越当前的去中心化技术，转向其他临时服务，也可能会增加。

此外，攻击者将继续针对流行软件包和生态系统，而不仅仅是一个，包括其他重要的注册表。开发和操作环境之间的界限日益模糊，IDE和CI/CD管道等工具成为攻击面的组成部分，这意味着保护整个开发人员工作流程至关重要。组织必须优先进行持续监控、主动威胁搜寻，并将攻击性安全实践整合到其安全开发生命周期中，以领先于这些快速演变的供应链威胁。