ፈጣን መልስ፡- የNPM የአቅርቦት ሰንሰለት ጥቃቶች የሚሰሩት የታመነ የደንበኛ መለያን ወይም CI/CD ቶከን፣ ገንቢዎች አስቀድመው የሚያምኑበትን የጥቅል ተንኮል አዘል ስሪት ማተም፣ እና የጥቅሉ የመጫኛ ስክሪፕቶች ወይም የትል ሎጂክ የቀረውን እንዲሰራ መፍቀድ። ከኦገስት 2025 እስከ 2026 አጋማሽ ባለው ጊዜ ውስጥ፣ ይህ ንድፍ በመዝገቡ ታሪክ ውስጥ ትልቁን የnpm ጥቅል አቅርቦት ሰንሰለት ጥቃቶችን አስከትሏል፣ ይህም የኖራ/የማረሚያ ጠለፋን፣ ሻይ-ሁሉድ ትልእና በሳምንት 100 ሚሊዮን ጊዜ በወረደ ፓኬጅ ውስጥ የተደበቀ የብሔር-ግዛት ማልዌር። መፍትሄው ኮድ ከወረደ በኋላ መቃኘት አይደለም። ተንኮል አዘል ፓኬጆችን ከመጫንዎ በፊት መያዝ እና መመልከት ነው። pipeline እነዚህ ጥቃቶች የሚጋሩት ትክክለኛ ባህሪ።
እያንዳንዱ ጭነት የእምነት ተግባር ነው፣ እና አጥቂዎች ይህንን ያውቃሉ
አንድ ገንቢ ያሂዳል የሌሊት ጭነት. ከዚያ በስተጀርባ አንድ ትዕዛዝ በመቶዎች፣ አንዳንዴም በሺዎች የሚቆጠሩ ፓኬጆች ያሉት የጥገኝነት ዛፍ ይገኛል፣ አብዛኛዎቹ ገንቢው ፈጽሞ የማያገኛቸው ሰዎች የተጻፉ እና የሚጠበቁ ናቸው። ማንም ሰው ያንን የዛፍ መስመር በመስመር አይገመግምም። ማንም ሰው ጊዜ የለውም።
ያ እምነት ኢላማ ነው። አንድ አጥቂ በፎርቹን 500 ፋየርዎል ውስጥ ዜሮ-ቀን ከማግኘት ይልቅ ሳምንታዊ ውርዶችን በ2.6 ቢሊዮን የሚደርስ የ npm ማናጀርን ማጥለፍ ርካሽ ነው። የ NPM የአቅርቦት ሰንሰለት ጥቃቶች ይህንን አለመመጣጠን በትክክል ይጠቀማሉ፣ እና የ2025-2026 ሞገድ ያ ብዝበዛ ምን ያህል እንደቀነሰ ያሳያል፡ ከ ራስን ወደሚያሰራጩ ትሎች የተነጠለ የፊደል አጻጻፍ የራሳቸውን ተንኮል አዘል ፓኬጆች ማንኛውም ሰው ከሚሰጠው ምላሽ በበለጠ ፍጥነት የሚያትሙ።
እንደ npm የአቅርቦት ሰንሰለት ጥቃት የሚቆጠረው
የnpm የአቅርቦት ሰንሰለት ጥቃት አንድ አጥቂ በnpm ስርጭት ውስጥ ተንኮል አዘል ኮድ የሚያስገባበት ማንኛውም ክስተት ነው pipeline ወደ ዒላማው የራሱ የኮድቤዝ ከመቀየር ይልቅ፣ ስለዚህ ማልዌር እንደ መደበኛ የጥገኝነት ዝመና ተደብቆ ይመጣል። የመግቢያ ነጥቡ ብዙውን ጊዜ ከሶስት ነገሮች አንዱ ነው፡ የአንድ አስተናጋጅ የተሰረቀ ምስክርነት፣ የተሰረቀ ህትመት ወይም CI/CD ምልክት ወይም የተበላሸ ግንባታ pipeline ይህም በአጥቂው ስም እንዲታተም ይታለላል። የnpm ፓኬጆች በራስ-ሰር ጊዜያዊ ጥገኝነቶችን ስለሚስቡ፣ አንድ የተጣለ ፓኬጅ ጨርሶ ቀጥተኛ ጥገኝነት እንደሆነ ያላወጁ መተግበሪያዎችን ሊደርስ ይችላል።
የጊዜ መስመር፡- ከ2025-2026 ትልቁ የnpm የአቅርቦት ሰንሰለት ጥቃቶች
ከእያንዳንዱ የnpm ጥቅል አቅርቦት ሰንሰለት ጥቃት በስተጀርባ ያለው ንድፍ
ዝርዝር ሁኔታዎችን አስወግዱ፣ እና ከላይ የተጠቀሱት ሁሉም ክስተቶች ማለት ይቻላል ተመሳሳይ አራት ደረጃዎችን ይከተላሉ፡
- ማንነትን ማዋረድ እንጂ ስርዓትን ማላላት አይደለም። የተጭበረበረ አስተናጋጅ፣ የፈሰሰ የnpm ቶከን፣ የተሰረቀ የጂቲዩብ PAT ወይም ከ OIDC የተወሰደ ቶከን CI/CD የሯጭ ማህደረ ትውስታ። አጥቂው መዝገቡን አይሰብርም። የአንድን ሰው ቁልፍ ለእሱ ይዋሳሉ።
- ገንቢዎች አስቀድመው በሚያምኑበት ስም ያትሙ። ትክክለኛው የጥቅል ስም ሲሰራ የፊደል አጻጻፍ አያስፈልግም። እነዚህ ጥቃቶች በራስ-ሰር ዝመና ላይ በጣም ውጤታማ የሚያደርጋቸው ይህ ነው። pipelines: ዝማኔው ሙሉ በሙሉ ህጋዊ ይመስላል።
- ማንም ሰው ከመገምገሙ በፊት ያሂዱ። ተንኮል አዘል የመጫኛ ስክሪፕቶች፣ የተደበቁ የክፍያ ጭነቶች ወይም በተወሰኑ ሁኔታዎች ስር ብቻ የሚነቃ የእንቅልፍ ኮድ ቅጽበቱን ያስፈጽማል የሌሊት ጭነት ብዙውን ጊዜ በገንቢው ላፕቶፕ ላይ ይሰራል፣ የታቀደ የደህንነት ቅኝት ከማየቱ ከረጅም ጊዜ በፊት።
- ቀጥል እና፣ እየጨመረ፣ ተባዛ። ሻይ-ሁሉድ እና ዘሮቹ የሰረቁትን ምስክርነቶች በመጠቀም የሚቀጥለውን የተመረዘ ፓኬጅ በራስ-ሰር ለማተም ይጠቀሙበታል፣ ይህም አንድ ስምምነትን በጥገኝነት ግራፍ ላይ ወደ ሰንሰለት ምላሽ ይለውጠዋል።
የተለመደው መከላከያ ለምን ይናፍቀዋል?
አብዛኛዎቹ የAppSec መሳሪያዎች የተገነቡት በማከማቻ ውስጥ ያለውን ለመተንተን ነው፡ የሚታወቁ CVEዎች፣ የማይንቀሳቀሱ የኮድ ቅጦች፣ የፈቃድ ችግሮች። ይህ አስፈላጊ ነው፣ ነገር ግን ለዚህ የጥቃት ክፍል በመዋቅራዊ መልኩ በጣም ዘግይቶ ይደርሳል። አንድ ስካነር ጥገኝነት ሲያይ የመጫኛ ስክሪፕት በገንቢ ማሽን ላይ አስቀድሞ ተከናውኖ ሊሆን ይችላል። ባህላዊ ጸረ-ቫይረስ እና EDR የክወና ስርዓቱን ይመለከታሉ፣ የጥቅል መዝገቦችን ሳይሆን፣ ስለዚህ “አዲስ npm ልቀት” እንደ የአደጋ ክፍል ምንም አይነት ፅንሰ ሀሳብ የላቸውም። እና የTanStack እና Red Hat ክስተቶች እንደሚያሳዩት፣ እንደ የግንባታ-ታማኝነት ማረጋገጫዎች እንኳን እንደ SLSA provenance አጥቂው የሚፈርማቸውን ማንነት በሕጋዊ መንገድ ሲይዝ አይረዱ፤ ፊርማው ትክክለኛ ነው፣ ፓኬጁ አሁንም ተንኮል አዘል ነው።
እነዚህ የnpm የአቅርቦት ሰንሰለት ጥቃቶች የሚፈፀሙበት ክፍተት በተለይ በህትመት እና በመጫኛ ጊዜ፣ ለማልዌር ፊርማ ከመኖሩ በፊት እና ፓኬጁ ባህላዊ ስካነር በሚመለከትበት ቦታ ሁሉ ከመሄዱ በፊት የሚቀመጥ ነው።
የሚቀጥለውን የ npm አቅርቦት ሰንሰለት ጥቃት እንዴት ማስቆም እንደሚቻል
ከእነዚህ ውስጥ አንዳንዶቹ እያንዳንዱ የምህንድስና ቡድን ዛሬ ሊቀበለው የሚችለው የሂደት ዲሲፕሊን ናቸው፡
- የፒን ጥገኝነቶች እና commit የመቆለፊያ ፋይሎችስለዚህ አውቶማቲክ ዝማኔ በቅርቡ የታተመውን ተንኮል አዘል ስሪት በጸጥታ መሳብ አይችልም።
- የድህረ-ጭነት ስክሪፕቶችን ያሰናክሉ ወይም በማጠሪያ ሳጥን ውስጥ ያስቀምጡ በነባሪነት፤ አብዛኛዎቹ ፓኬጆች በጭነት ጊዜ የዘፈቀደ ኮድ መፈጸም አያስፈልጋቸውም።
- ለ npm የህትመት መለያዎች በሃርድዌር የተደገፈ MFA ን ያስፈጽሙ, የኖራ፣ የማረም እና የኪክስን መለያ ያበላሸውን ትክክለኛ የፊሺንግ መንገድ መዝጋት።
- ወሰን እና አዙር CI/CD ቶከኖች በኃይልእና የOIDC ቶከኖችን በሯጭ ማህደረ ትውስታ ውስጥ እንደ ተግባራዊ ዝርዝር ሳይሆን እንደ መጠበቅ የሚገባ ማረጋገጫ አድርገው ይቆጥሩታል።
- የመክፈቻ-መርፌ-ድጋሚ መቆለፊያ ንድፍን ይመልከቱ in CI/CD: የቅርንጫፍ ጥበቃ ደንብ ተሰናክሏል፣ ሀ commit ተገፍቷል፣ ደንቡ እንደገና ነቅቷል፣ ሁሉም በጥብቅ መስኮት ውስጥ። የ pipeline- የአቅርቦት ሰንሰለት ደረጃ ስምምነት።
የሂደት ዲሲፕሊን የሚያልቅበት ቦታ
የሂደት ዲሲፕሊን ተጋላጭነትን ይቀንሳል። ተንኮል አዘል ፓኬጅ እንደታተመ ወዲያውኑ አይይዝም፣ እና ከሰው ልጅ ትሪኤጅ በበለጠ ፍጥነት በግራፉ ውስጥ የሚሰራጭ ትል አይይዝም። የXygeni's Supply Chain Security የተገነባበት ንብርብር ይህ ነው።
የዚጄኒ MEW (የማልዌር ቅድመ ማስጠንቀቂያ) በ npm፣ PyPI እና Maven ላይ የታተሙ አዳዲስ ፓኬጆችን ያለማቋረጥ ይተነትናል፣ ፊርማ ከመኖሩ በፊት ማልዌርን ይይዛል፣ እና የተረጋገጡ ስጋቶችን ወደ ውስጥ በማስገባት የዚጄኒ የራሱ የሆነ የማወቂያ ሞተር። የጥገኝነት ፋየርዎል npm፣ PyPI፣ Maven፣ NuGet እና RubyGems በእውነተኛ ጊዜ ይቃኛል እና ተንኮል አዘል ጭነቶች ወደ ገንቢው ማሽን ወይም ግንባታ ከመድረሳቸው በፊት ያግዳቸዋል። CI/CD ያልተለመደ መለየት ሰዓቶች pipelineእንደ TanStack compromise ያሉ ክስተቶችን በትክክል የሚያሳዩ የባህሪ ቅጦችን ያካትታሉ፣ ይህም የመክፈቻ-መርፌ-ድጋሚ መቆለፊያ ቅደም ተከተልን ጨምሮ፣ ሙሉ የኦዲት ዱካ ያለው። እና ምክንያቱም የXygeni's በAI-የተጎላበተ መለያየት እና ማስተካከያ ከሶስተኛ ወገን ስካነሮች የተገኙ ግኝቶችንም ተግባራዊ ማድረግ፣ ቡድኖች ይህንን ክፍተት ለመዝጋት ያሉትን መሳሪያዎች መገልበጥ አያስፈልጋቸውም።
ተደጋጋሚ ጥያቄዎች፡ npm የአቅርቦት ሰንሰለት ጥቃቶች
የnpm የአቅርቦት ሰንሰለት ጥቃት ምንድን ነው?
ይህ ጥቃት ተንኮል አዘል ኮድ በዒላማው በራሱ ኮድ በኩል ሳይሆን በታመነ የnpm ጥገኝነት በኩል ወደ ዒላማ መተግበሪያ የሚደርስበት ጥቃት ነው፣ ብዙውን ጊዜ አንድ አጥቂ የአስተዳዳሪውን መለያ፣ የህትመት ማስመሰያ ወይም CI/CD pipelineማንነት።
ትልቁ የ npm የአቅርቦት ሰንሰለት ጥቃት ምን ነበር?
በፍንዳታ ራዲየስ፣ የመስከረም 2025 የኖራ/የማረሚያ ጠለፋ ከትላልቆቹ መካከል አንዱ ነው፡ 18 ፓኬጆች በድምሩ 2.6 ቢሊዮን ሳምንታዊ ውርዶች በአንድ የፊሸርድ ማናጀር መለያ አማካኝነት ተጎድተዋል። በቴክኒካል አዲስነት፣ ሻይ-ሁሉድ በnpm ታሪክ ውስጥ የመጀመሪያው ራሱን የሚያሰራጭ ትል እንደመሆኑ መጠን በጣም ጉልህ የሆነ የለውጥ ነጥብ ነበር።
የ npm ጥቅል አቅርቦት ሰንሰለት ጥቃት ብዙውን ጊዜ የሚጀምረው እንዴት ነው?
ሁልጊዜ ማለት ይቻላል የተሰረቀ ማንነት ያለው፡ የተጭበረበረ አስተናጋጅ፣ የተለቀቀ የህትመት ማስመሰያ ወይም የተሰረቀ CI/CD እንደ OIDC ቶከን ያሉ የምስክር ወረቀቶች ከአንድ ሯጭ ማህደረ ትውስታ የተወሰዱ ናቸው፣ ይልቁንም ወደ npm ራሱ ከመግባት ይልቅ።
ጸረ-ቫይረስ ወይም EDR የ npm አቅርቦት ሰንሰለት ጥቃትን ማስቆም ይችላል?
አስተማማኝ አይደለም። EDR የስርዓተ ክወናውን ይከታተላል እና የጥቅል መዝገቦችን አይረዳም፣ እና ጸረ-ቫይረስ ፊርማ ላይ የተመሰረተ ነው፣ ይህም ማንኛውም ፊርማ ከመኖሩ በፊት ከታተመ ማልዌር ጋር ይቃረናል። ይህንን የጥቃት ክፍል ማቆም በመጨረሻው ነጥብ ላይ ብቻ ሳይሆን በህትመት እና በመጫኛ ቦታ ላይ ክትትል ማድረግን ይጠይቃል።
ያመጣል SLSA provenance ወይስ የግንባታ ማረጋገጫ ይህንን ይከላከላል?
እሱ ያረጋግጣል pipeline በግንባታው ወቅት ራሱ አልተነካም። የ TanStack እና Red Hat ክስተቶች ከተንኮል አዘል ፓኬጆች ጋር የተያያዙ ትክክለኛ ማረጋገጫዎችን እንዳሳዩት፣ ግንባታውን ያስነሳው ማንነት እንዳልተጎዳ አያረጋግጥም።
አንድ ቡድን ተንኮል አዘል የ npm ጥቅል ከመጫኑ በፊት እንዴት መለየት ይችላል?
አዲስ በታተሙ ፓኬጆች ላይ ቀጣይነት ያለው፣ ቅድመ-ፊርማ የማልዌር ትንተና በማስኬድ፣ ይህም የማልዌር ቅድመ-ማስጠንቀቂያ ስርዓት እና የጥገኝነት ፋየርዎል የተሰሩት በአንድ ማከማቻ ውስጥ አስቀድሞ በተቀመጠ የኮድ ድህረ-ሆክ ተጋላጭነት ቅኝት ላይ ብቻ ከመተማመን ይልቅ ነው።
የት እንደሚጀመር
የNPM የአቅርቦት ሰንሰለት ጥቃቶች እየቀነሱ አይደሉም፣ እና ከሻይ-ሁሉድ ጀምሮ ያለው አዝማሚያ ወደ ተጨማሪ አውቶሜሽን ያመላክታል፣ ያነሰ አይደለም። ለቀጣዩ ዘመቻ በጣም የተሻሉት ቡድኖች እያንዳንዱን የnpm ጭነት እንደ መደበኛ ክስተት አድርገው መቁጠር ያቆሙ እና መዝገቡን መመልከት የጀመሩት፣ pipelineእና የመጨረሻው ነጥብ እንደ አንድ የተገናኘ የጥቃት ወለል።
የXygeni የገንቢ ዕቅድ የMEW እና የጥገኝነት ፋየርዎል ሽፋን ያካትታል እስከ 25 የሚደርሱ ማከማቻዎችን ያለምንም ክፍያ ማግኘት ይቻላል። አስቀድሞ በጥገኝነት ዛፍ ውስጥ ያለውን ለማየት ምክንያታዊ ቦታ ነው።
