Zašto su samodešifrirajuće arhive i dalje omiljena metoda isporuke zlonamjernog softvera
Napadačima nije potrebno nula dana kada programeri i dalje raspakuju proizvoljne datoteke bez njihovog stavljanja u sandbox. Samodekriptirajuća arhiva ostaje jedna od najefikasnijih metoda isporuke zlonamjernog softvera jer iskorištava upravo to: povjerenje programera u interni kod, artefakte izgradnje i alate trećih strana.
suprotno standard ZIP-ovi, samodekriptirajuća arhiva, izvršavaju proces raspakivanja kao program. Ovaj jednostavan trik zaobilazi većinu statičkih i skenera zasnovanih na potpisima, posebno kada su prikriveni kao legitimni instalacijski program ili ažuriranje. Nakon izvršenja, arhiva može raspakirati trojance, špijunski softver ili program za evidentiranje pritiska tipki direktno u osjetljive dijelove vašeg razvojnog okruženja.
Zašto napadači vole samodešifrirajuće arhive?
- Izvršavaju tiho.
- Ne oslanjaju se na interakciju korisnika nakon početnog izvršenja.
- Oni iskorištavaju iste granice povjerenja na koje se i vi oslanjate: interne skripte, CI/CD koraci i alati za razvoj.
Često ćete vidjeti samodešifrirajuće arhive ugrađene u lažne SDK-ove, kompromitovane pakete otvorenog koda ili čak kao lažne priloge koji se predstavljaju kao optimizatori izgradnje ili interni alati. Ove arhive su jedna od najupornijih metoda isporuke zlonamjernog softvera jer se uklapaju u svakodnevne radne procese programera. U mnogim slučajevima, one tiho ispuštaju zapisnik o pritiskanju tipki koji bilježi sve, od vjerodajnica do osjetljivih naredbi, bez aktiviranja upozorenja.
Od korisnog tereta do istrajnosti: Šta se zaista dešava nakon izvršenja
Nakon što se samodekriptirajuća arhiva pokrene, ona ne ispušta samo binarnu datoteku i nestaje. Ona se ukopava u sisteme iskorištavajući pogrešno konfigurirane politike izvršavanja ili korisničke privilegije. Popularan pristup je ubacivanje programa za evidentiranje pritiska tipki ili trojanca sa stražnjim vratima u korisničke procese ili skripte za pokretanje sistema.
Na primjer, SDA može raspakirati trojanca za udaljeni pristup (RAT) koji se instalira kao usluga ili modificira .bashrc, .zshrcili PowerShell profile. Također bi mogao mijenjati planirane zadatke ili koristiti izvorne alate poput schtasks or launchd da se ponovo pokrene prilikom ponovnog pokretanja.
Uobičajeni indikatori kompromitovanja (IoC) na koje bi programeri trebali obratiti pažnju:
- Neočekivano izvršavanje EXE ili ELF binarnih datoteka putem CLI-ja iz / tmp, % AppData%, ili slično.
- Neobičan mrežni promet odmah nakon izvršavanja nepoznatih alata.
- Izmijenjene skripte za izgradnju ili testiranje sa sumnjivim koracima nakon izvršenja.
Ovi korisni opterećenja opstaju po principu "design" i rijetko ih označava tradicionalni EDR u razvojnim okruženjima, posebno kada su prikriveni kao razvojne zavisnosti. Nakon što je aktivan zapisivač pritiska tipki, on može tiho snimiti sve, od programskih akreditiva do produkcijskih tajni.
Gdje se programeri suočavaju s najvećim rizicima u CI/CD Pipelines
Evo gdje stvari postaju zaista rizične: CI/CD pipelines.
Samodekriptirajuće arhive postaju posebno opasne kada pogode CI/CD jer se stapaju. Mogu se maskirati kao:
- Prekompilirani SDK-ovi ili CLI alati su prijavljeni u repozitorije.
- Izgradite zavisnosti preuzete iz neprovjerenih izvora.
- Interni alati se dijele putem Slacka ili e-pošte, a zatim committed ili korišten u skriptama.
Žarišne tačke rizika
- Agenti za izgradnju: Ako se ovdje izvrši SDA, on može mijenjati varijable okruženja, vjerodajnice ili čak ubrizgavati u sljedeće poslove.
- Keš memorije zavisnostiZlonamjerni softver u SDA-u koji dospije u vašu keš memoriju postaje rizik za lanac snabdijevanja. Svaki posao koji povlači podatke iz zaražene keš memorije nasljeđuje korisni teret.
- Repozitoriji artefakataAko su zaraženi SDA-ovima, služe kao metode isporuke zlonamjernog softvera koje dospijevaju u nizvodna okruženja, uključujući staging i prod.
CI/CD je brz i automatiziran. To znači da jedna samodešifrirajuća arhiva može tiho teći kroz više okruženja prije nego što iko primijeti. Još gore, ako korisni teret uključuje i program za evidentiranje pritiska tipki, može leak secretkoristi se u različitim fazama, a da to nikada ne bude otkriveno.
Blokiranje tihog izvršavanja pomoću DevSecOps kontrola
Sprečavanje izvršavanja samodešifrirajućih arhiva nije komplicirano, ali zahtijeva promjenu zadanih postavki.
Kontrole usmjerene na programere koje funkcioniraju:
- Onemogućite rizične politike izvršavanja: Zaključajte mogućnost pokretanja izvršnih datoteka s privremenih ili nepoznatih putanja. To znači postavljanje odgovarajućih politika izvršavanja datoteka na agentima za izgradnju.
- Provedite validaciju artefakata: Koristite kriptografske kontrolne sume ili potpisivanje na svim internim alatima, SDK-ovima i binarnim datotekama. Validirajte svaki artefakt prije nego što dođe u kontakt sa pipeline.
- Binarne datoteke za prvo pokretanje u sandboxu: Posebno za alate preuzete ili dodane nedavno. Za ovu svrhu koristite kontejnerizirane pokretače ili izolirane virtualne mašine.
- monitor pipeline ponašanje: Označi i upozori na neobično ponašanje prilikom izvršavanja, kao što je odlazni promet nakon izgradnje ili CLI procesi koji nisu definirani u vašem pipeline config.
Jaka Položaj DevSecOps-a pretpostavlja da svaki alat može biti kompromitovan. Ako vaš CI/CD ne može otkriti da se samodešifrirajuća arhiva provlači, promašit će mnogo gore. Metode isporuke zlonamjernog softvera se razvijaju, ali izvršavanje lažnih binarnih datoteka u okruženjima za izgradnju ostaje glavni rizik. Spojite detekciju sa prevencijom.
Idi dalje od otkrivanja: Kako Xygeni pomaže u praćenju puteva isporuke zlonamjernog softvera
Otkrivanje sistema za praćenje pritiska tipki naknadno je prekasno. Tu se koriste alati poput Xygeni stvar.
Xygeni pruža uvid u realnom vremenu u ono što se izvršava u vašem pipeline, bilo da se radi o samodešifrirajućoj arhivi ili lažnom binarnom fajlu koji se maskira kao pomoćnik za izgradnju. Njegova snaga leži u:
- Mapiranje kretanja metoda isporuke zlonamjernog softvera pipelines.
- Praćenje porijekla zlonamjernih samodešifrirajućih arhiva.
- Blokiranje izvršenja na osnovu pokazatelja ponašanja, ne samo potpisa.
Pomoću Xygenija možete povezati događaje poput: „neobičan artefakt uveden u zadatku izgradnje #42“ → „CLI izvršio neočekivanu binarnu datoteku“ → „beacon zabilježavanja pritisaka tipki otkriven na krajnjoj tački“.
Ova sljedivost je ključna kada pokušavate osigurati CI/CD tokovi rada protiv skrivenih metoda isporuke zlonamjernog softvera.
Posljednja linija odbrane: Zaustavite samodešifrirajuće arhive prije nego što vam eksplodiraju Pipeline
Samodešifrirajuće arhive nisu samo stari trik. One ostaju jedna od najopasnijih i nedovoljno otkrivenih metoda isporuke zlonamjernog softvera usmjerenih na programere i pipelines.
Ako ste programer koji piše ili osigurava kod, potrebno je da:
- Tretirajte svaku binarnu datoteku kao nepouzdanu, čak i unutar vlastite pipeline.
- Primijenite validaciju i testiranje u sandboxu za sve artefakte trećih strana.
- monitor pipeline ponašanje kao da se radi o produkcijskom prometu.
I najvažnije, razmislite o alatima poput Xygenija koji idu dalje od skeniranja, alatima koji prate, pronalaze i blokiraju zlonamjerne samodešifrirajuće arhive prije nego što vam unesu zapisnik o pritiskanju tipki. CI/CD slagati. Pomaknite se lijevo, ali skenirajte dublje. I nikada ne podcjenjujte kako mala arhiva može predstavljati veliki rizik kroz tihe metode isporuke zlonamjernog softvera.
