Sa miaging yugto, Mga Open Source Malicious Packages: Ang Problema, among gihisgutan nganong ang mga aktor sa hulga hilabihan ka madasigon bahin sa pagmantala og bag-ong malisyosong mga sangkap o pag-inject og malware sa pinakabag-ong mga bersyon sa kasamtangang mga sangkap: Ang open source nga imprastraktura nagtugot sa bisan kinsa bisan asa sa paghimo og temporaryo nga account sa usa ka component registry (sama sa NPM, PyPI, Docker Hub o Visual Studio Marketplace) o collaborative development platform (sama sa GitHub). Walay gasto, ug daghang mga oportunidad sa pagpahimulos sa sobra nga pagsalig nga naandan nga naa sa mga software team sa mga third-party nga component.
Ang kawalay-timbang tali sa kadali sa mga tig-atake sa pag-apod-apod sa malware gamit ang imprastraktura nga magamit alang sa open source, ug kung unsa ka lisod alang sa mga organisasyon nga nagpalambo og software (tanan?) nga malikayan ang pagkataptan sa malware (ug ang paghatud sa malware sa software nga ilang giapod-apod alang sa uban), misangpot sa hapit na maabot nga quarter-million nga marka sa mga malisyosong pakete sa miaging tuig.
Kini usa ka problema nga dako kaayo nga walay bisan usa ka organisasyon ang makasulbad niini, ug ang komunidad anaa sa proseso sa pag-usab sa porma sa open source nga proseso mahitungod sa pagsalig, secure-by-default ug secure-by-design nga mga prinsipyo, ug ang lifecycle sa mga component. Atong tan-awon ang maong mga ideya sa sunod nga yugto. Pagpanalipod Batok sa Open Source Malicious Packages: Unsa ang (Dili) Molihok.
Hinumdumi nga kita naghisgot bahin sa mga sangkap sa software nga kasagaran katumbas sa mga pakete sa software: magamit pag-usab nga mga sangkap nga gi-pack aron kini mahimong i-refer isip usa ka dependency sa usa ka software manifest, ug ma-install gamit ang usa ka package manager o build tool. Palihug timan-i nga kini nga kaso mahimong mapalapdan aron maapil ang publiko mga imahe sa sudlanan (gigamit sa mga container runtimes ug orchestration platforms sama sa Kubernetes), ug mga extension sa mga gamit sa software (para sa pagtukod, automation, ug deployment).
Dinhi atong analisahon kon giunsa kini taktika sa pag-atake nga gibase sa mga makadaot nga sangkap molihok, sumala sa nangaging mga pananglitan ug sa among nakita sa among plataporma para sa Malware Early Warning (MEW). Atong tukion ang mga makadaot nga sangkap sa lain-laing mga dimensyon:
(1) ang paagi nga gipili alang sa pag-apod-apod (rehistro nga gigamit, sa usa ka bag-o o kasamtangan nga sangkap, ug ang teknik nga gigamit alang sa pag-impeksyon sa bersyon sa sangkap nga gimantala), (2) unsaon pag-activate o pag-trigger sa malware, (3) ang malisyoso nga pamatasan ie unsang makadaot nga mga aksyon ang naobserbahan ug unsa ang motibasyon sa tig-atake, (4) unsang mga teknik ang komon para sa obfuscation, pagtago para dili mamatikdan, lateral movement, komunikasyon sa command and control (C2) hosts, ug uban pa; ug (5) ang mga teknik para makakuha og igong popularidad ug pagsalig aron ang mga biktima maka-install sa component.
Ang Gipili nga Mekanismo sa Distribusyon
Atong naobserbahan ang usa ka "kasaba sa background"sa mga walay-komplikado nga malisyosong pakete nga naggamit og typosquatting aron maka-phish sa mga walay-pagbantay nga developer nga adunay typo sa ngalan sa pakete para sa ilang dependency. Daghang sikat nga mga pakete ang nakadawat og sunod-sunod nga parehas og ngalan nga mga pakete nga adunay mga typo, nga adunay gilauman nga ilang ma-phish ang pipila ka walay-pagbantay nga mga developer.
Mogamit silag ephemeral account, mo-publish og grupo sa mga typosquat package, mohimo og lain, ug mo-publish og laing grupo… Gamit ang automation ug intuwisyon, makakuha silag gamay nga pagka-sopistikado, apan kasagaran kini mga walay hinungdan. Among gitawag sila nga “anchoviesAng pagpangawat sa mga kredensyal mao ang pangunang tumong, apan usahay atong makita nga ang spyware mokuha sa source code o sensitibo nga datos sama sa personal nga impormasyon (PII), pagkuha sa clipboard, ug uban pang mga pagduhaduha.
Kalit lang natong makita ang mas sopistikado nga mga malisyosong sangkap, ang mga "sharks". Usa ka minoriya ang gitarget sa piho nga mga grupo o organisasyon, kasagaran gamit ang mga crypto drainer o web skimmer nga gi-activate nga kondisyonal, tingali nagsunod sa pamaagi nga nakita sa insidente sa agos sa panghitabo sa pag-decrypt sa attack payload lamang kung ang package gi-reference gikan sa target nga package.
Ang mekanismo sa pag-apod-apod gisusi sa maayo kaayo ug karon klasiko nga papel, "Koleksyon sa Kutsilyo ni Backstabber: Usa ka Pagrepaso sa mga Pag-atake sa Supply Chain sa Open Source Software", nga kinahanglan gyud basahon. Sigurado nga nakakita ka na niining nindot nga tsart kaniadto:
Gisusi ang tanang paagi, lakip ang bag-o ug kasamtangang mga pakete; nakaapekto sa source code, sa build system, o sa packaged component mismo; paggamit sa gikawat nga mga kredensyal o social engineering; pag-hijack sa gibiyaan nga mga account ug repository o paghilo sa mga gimentinar. Ang ubang mga pag-atake nakadawat og mga ngalan (Pag-type sa mga teksto, Kalibog sa Pagsalig, Klaro nga Kalibog, Pag-repo-jacking. ug uban pa) ug nahisgutan na sa ubang dapit.
Kumusta man ang mga napili nga rehistro?
Padayon nga nanguna ang NPM sa kinatibuk-ang gidaghanon sa mga malisyosong pakete, apan nakakita kita og pagsaka sugod karong tuiga sa PyPI. Ang Python usa ka sikat nga ekosistema para sa data science ug machine learning. Sa tinuod lang, mas taas na karon ang densidad sa malware sa PyPI kaysa sa NPM.
Giunsa pag-trigger ang malware
Ang mga malisyosong pakete mo-trigger atol sa pag-instalar sa 4 lang sa 10 ka mga kaso (sa bag-ohay nga mga tuig kini hapit sa 6 sa 10). Ang uban modagan og malisyosong pamatasan atol sa runtime, diin 1 sa 100 ang mo-trigger samtang nagpadagan og mga pagsulay. Murag nahibal-an sa mga kaaway nga ang wala makontrol nga pagpatuman sa mga script sa pag-instalar gi-disable sa daghang mga lugar.
Unsa may makuha sa mga dautang tawo?
Among ilista ang mga kategorya sa malisyoso nga pamatasan, una ang pinakapopular. Palihug timan-i nga ang epekto mahimong lahi kaayo: a wiper gahig ulo nga makadaot, apan dili kini kasagaran ug nakita lamang sa pipila ka mga kaso, nga may kalabotan sa gitarget nga mga kampanya sa cyber war o brutal nga hacktivism. Ang mosunod nga mga kategorya komon kaayo:
- InfoStealer / Credentials DrainerSa pagkakaron, ang labing kanunay, kapin sa 90% sa mga dili sopistikado nga pag-atake mga yano nga kawatan nga nangita lang og mga kredensyal sama sa mga password, access token, API keys, ug private keys (para sa SSH ug uban pa). Kini tingali ang pinakasayon nga isulat (uban sa mga wiper?). Gilista nila ang nailhan nga mga file/directory ug uban pang mga tinubdan (pananglitan registry keys), giputos ang mga sulod, ug gipadala ang maong datos ngadto sa usa ka C2 server. Yano ra ang ideya: "Nagmantala ko og usa ka kawatan para sa mga kredensyal sa phishing, aron magamit nako sa ulahi ang mga kredensyal para sa paglunsad og direktang pag-atake".
Ang C2 networking nga naobserbahan kasagaran barato ug hugaw, sama sa mga channel sa Telegram o mga himan sa pag-tunnel nga sama sa ngrok (kasagaran sa porma sa mga reverse proxy nga gibutyag pinaagi sa mga VPN egress IP). Adunay gatusan (!) nga mga posibilidad, uban sa daghang mga proyekto sa GitHub ubos sa hilisgutan sa pagpangawat og passwordAng mga espesyalisasyon sama sa mga keylogger talagsa ra para sa mga malisyosong pakete ug mga imahe sa container, apan mas kanunay sa mga extension sa himan, diin gilauman ang interaksyon sa tiggamit.
- Dropper / DownloaderAng ikaduha sa pagkapopular, kasagaran una sa mga multi-stage nga pag-atake. Kapin sa usa sa tulo sa mga malisyosong sangkap ang adunay mga dropper (kung ang malisyosong payload gilakip sa pakete) o mga downloader (ang payload gi-download gikan sa usa ka endpoint ubos sa kontrol sa tig-atake). Ang payload kasagaran usa ka nailhan nga binary malware variant, ug kini gipadagan ug usahay nagpadayon, alang sa pag-instalar sa mga backdoor, spyware, crypto drainer, ug uban pang mga gamit. Ang payload nga gi-download o gi-deploy magsugod sa usa ka ikaduhang hugna nga pag-atake gamit ang tanan nga gahum nga gihatag sa kasamtangan nga mga binary sa malware. Ang mga binary mahimong ipang-apod-apod sulod sa pakete, nga kanunay nga gitakoban isip mga imahe o gituohang dili makadaot nga mga tipo sa file, aron malikayan ang pagkakita samtang nagkonektar sa wala damha nga mga site.
- Mga Kawatan / Minero sa CryptocurrencyAng mga kaaway nga adunay pinansyal nga motibasyon andam mogamit sa imong mga cloud asset para sa pagpadagan sa mga cryptominer (ilang mamatikdan gani kung nagdagan ba sila sa usa ka cloud VM). Wala silay pakialam sa ubos nga ratio sa ganansya nga $1 sa matag $53 nga gisingil sa biktima para sa gikawat nga imprastraktura sa panganod. Ang mga biktima mahimong dili mahibalo niini hangtod nga makadawat sila og wala damha nga bayranan. Maayo na lang, kini moabot ug mawala. Cryptojacking ang mga kampanya sa mga malisyosong pakete usahay mo-pop up ug dayon mawala, nga mo-phishing para sa mga tiggamit sa wallet o sa kadugayan mo-target sa tighatag sa wallet, sama sa Pag-atake sa ledger.
Ang ubang mga pamatasan, sama sa pag-deploy sa usa ka backdoor para sa remote code execution pinaagi sa pag-abli og reverse shell dili na kaayo kanunay karon kaysa kaniadto. Pananglitan, ang 123rf_contributor_web ang pakete (gitangtang na karon gikan sa registry) moabli nga walay bisan unsang obfuscation usa ka reverse shell nga gikopya ug gi-paste gikan sa Baliktad nga Shell Cheat Sheet:
Gawas sa lehitimo ug malisyosong mga sangkap, nakabantay kami og daghang mga pag-abuso, lakip ang:
Mga pakete sa spam
Adunay liboan ka gagmay nga mga pakete, kasagaran naa sa NPM, nga walay malware apan nagsaad og dali nga kita, lana sa bitin, mga link sa mga tanyag sa Viagra, ug tanan niana. Pipila ka mga tiggamit ang nagpatik sa ingon nga spam ug nagkuha og daghang bandwidth gikan sa registry. Laing aktor(mga) nga posible gikan sa Indonesia ang misulay sa pagkuha og benepisyo pinaagi sa pag-abuso sa teaRank gituyo alang sa pagbayad sa mga open-source developers, pinaagi sa paghimo og napulo ka libo nga magkalambigit nga mga pakete sa NPM nga adunay may kalabutan nga mga dummy repository sa GitHub. Kini usa ka klaro nga paglapas sa mga termino sa paggamit.
Mga limbong sa bug bounty ug panukiduki sa seguridad
Kon ang usa ka pakete naghulagway sa iyang kaugalingon isip usa ka exfiltrating data alang sa maayong mga katuyoan, sama sa pag-detect sa mga depekto sa seguridad para sa mga bug bounty program o pag-research sa pipila ka aspeto sa ecosystem. Nakakita na kami og liboan ka mga pakete niini nga kategorya, nga nagkuha og identipikasyon apan dili kaayo sensitibo nga data ngadto sa usa ka Burp Collaborator address gikan sa PortSwigger (pananglitan host sa oastify.com domain). Kanunay namong naobserbahan ang mga kopya sa Kalibog sa Pagsalig pamatuod sa konsepto ni Alex Birsan, sama sa aurora-webmail-pro package (gitangtang gikan sa registry), nga nagpadagan lang niining daotang code sa pre-install script:
Ug naglakip usab og "Kini ang Pamatuod sa Konsepto sa Simple Dependency Confusion Attack"deskripsyon sa pagpasabot sa sayop nga pagsabot sa package.jsonKini usa ka klaro nga paglapas sa mga termino sa serbisyo, bisan kung wala’y dautang tuyo.
Maayong balita? Wala pa kitay nakitang mga pag-atake sa ransomware nga gihimo pinaagi sa mga malisyosong sangkap. Tungod sa wala mahibal-i nga mga hinungdan, ang mga cybercriminal daw mas gusto ang mas tradisyonal nga email phishing, RDP-based, ug drive-by download delivery mechanisms.
Dugang nga mga Teknik nga Naobserbahan
Daghang mga teknik ang gigamit alang sa persistence, paglikay sa depensa, pagkolekta og impormasyon, komunikasyon sa mga command & control host, ug exfiltration.
Paglahutay sa mga malisyosong sangkap makuha gamit ang mga bahin sa persistence sa usa ka ikaduhang yugto nga binary malware, apan usahay ang pamatasan nahimutang sa package code, diin ang naka-iskedyul nga mga buluhaton ug mga pagbag-o sa Windows registry ang labing kasagaran.
Pag-obfusyo komon, apan dili komplikado. Kadaghanan sa mga pakete sa typosquatting (hinumdomi ang "anchovies"?) wala gyud mogamit og obfuscation; daghan ang mogamit og mga trivial nga pamaagi (base64/hex encoding o substitution ciphers sama sa rot13) o mogamit og mga code obfuscator ug minification, nga dali ra mabaliktad gamit ang saktong gamit. Ang mga "shark" ra ang mohimo og tinuod, hard-core, nga obfuscation, ug lisod i-reverse-engineer.
Ang obfuscation mahimong magtago sa pag-atake, apan nganong kinahanglan man nga takpan ang code sa usa ka open-source component? Aduna bay ebidensya nga kinahanglan itago ang usa ka butang gikan sa panan-aw sa tanan? Nakakita kami og daghang mga pananglitan sa mga dili-malisyoso nga mga pakete nga naggamit og obfuscation aron mapanalipdan ang intellectual property, nga supak sa "open source". Ang obfuscation mahimong gamiton isip ebidensya sa malware, apan dili kini konklusibo. Lisod usab ang pag-de-obfuscate.
evasion gikan sa mga kontrol sa depensa nagsagop sa mga simpleng teknik. Ang malisyoso nga code kanunay nga gipanalipdan sa sulayi … dakpa mga bloke nga wala magtagad sa bisan unsang mga eksepsiyon, mao nga ang dili normal nga kalihokan dili ipakita sa mga log. Talagsa ra ang pag-verify sa palibot (nga nagdagan sa usa ka VM o container), gawas kung adunay malware nga nag-target sa usa ka partikular nga organisasyon o palibot.
Ang pagtakoban sa mga binary sa mga imahe ug mga PDF file (sama sa steganography) usa pa ka teknik nga nakita aron malikayan ang pag-detect.
Tungod kay ang labing komon nga malisyosong mga sangkap mao ang mga infostealer, pagkolekta sa datos hinungdanon. Ang mga sekreto (mga password, access token, API key, cryptographic key) kanunay nga gi-scan sa mga log file, environment variable, ug bisan sa clipboard (makita sa mga banking trojan ug crypto stealer). Komon usab ang source code exfiltration, tungod kay ang pag-instalar sa package kanunay nga gihimo sa usa ka development node diin ang internal nga mga git repository mahimong ma-clone. Nakakita na kita og mga package nga naglista sa mga direktoryo nga nangita sa mga git repository. Ang pagpangita og mga lokasyon sama sa .env, private.pem, settings.py, app.js, o application.properties komon kaayo.
Ang exfiltration usa pa ka kaylap nga gigamit nga aksyon. Gamay ra nga mga malisyosong pakete ang naningkamot nga itago ang destinasyon sa nakuha nga datos. Mga channel sa Telegram ug mga tunel nga sama sa ngrok kanunay gigamit. Ug daghan kasagarang gi-whitelist nga mga domain nga gigamit para sa exfiltration.
Ang ubang mga teknik, sama sa pagpataas sa pribilehiyo o paglihok sa kilid, dili kaayo komon.
Pag-angkon og Popularidad ug Pagsalig
Handurawa ang usa ka tech crimeman nga adunay andam nang mamumuno nga malisyoso nga tawo nga naghunahuna: “Unsaon nako paghimo niining binuang nga kasaligan sa mga walay kasigurohan?”
Kana nagpasabot kon unsaon paghimo sa entry para sa malisyosong component aron ipakita ang daghang mga bituon / mga tinidor (para sa pagkapopular), dugang mga bersyon / mga isyu ug pull requests (para sa kalihokan). Ang ideya mao ang pag-angkon og hinimo-himo nga pagkapopular (mga bituon) ug mga dependent, ug usa ka makapakombinsir nga panagway bahin sa kalambigitan ug pagmentinar.
Dili susihon sa registry kung ang mga sulod sa usa ka proyekto sa GitHub ug ang mga sulod sa pakete parehas ba.Usa kini ka ilado nga isyu sa software supply chain. Ang mga pampublikong rehistro mga higanteng lungag nga molamoy sa tanan nga gilabay kanila. Mahimo nimong i-link ang bisan unsang repository.
Kon ang malisyosong pakete mo-typo-squat sa usa ka sikat nga pakete, sayon ra kana: i-reference lang ang kasamtangang GitHub repository sa dependencies manifest nga gigamit sa paghimo sa pakete ug pagmantala niini sa registry. Para sa mga bag-ong pakete sa usa ka peke nga GitHub repo, basin kinahanglan nimo og dugang nga kahanas, tingali paghimo og peke nga pakete. pagtan-aw sa mga bituon/pag-fork Mga GitHub account pinaagi sa scripting.
Ug kon ang sulod sa imong pakete halos parehas sa repo, idugang ang pipila ka maayong pagkadisenyo nga mga pagbag-o dinhi ug didto… Mahimo nimong i-inject ang imong malware ngadto sa usa ka bag-ong pakete nga susama sa usa ka sikat nga pakete nga nagtumong sa kasamtangang repository, ug hulaton ang mga typo. Kon adunay mangahas sa pagtandi sa sulod sa package tarball sa mga sulod gikan sa GitHub repository, ang mga kalainan sa mga punto sa pag-inject sa malware dali nga masipyat. Nakita na nato kini nga pamaagi sa daghang beses kaniadto.
Usa ka mekanismo para sa usa ka component nga mohimo og tamper-proof nga pahayag bahin sa gigikanan, giunsa paghimo ang pakete, gikan sa unsang mga tinubdan, ug kinsa ang naghimo niini, ang madawat. Apan lahi na kana nga istorya.
Malware ba ang component X?
Naa bay (komprehensibo) nga database sa mga malisyosong pakete? Wala. Ang mga open-source nga kahuyangan adunay CVE ID nga gi-assign, apan pipila ra ka malisyosong pakete (ilabi na kadtong mga sikat kaayo) ang gihatagan niini. Ang CWE para sa mga malisyosong pakete kay CWE-506 (gisulod nga malisyosong kodigo).
Ang naandan nga mga himan sa malware (VirusTotal, MalwareBazaar, SOREL-20M…) wala maghimo ug espesipikong mga probisyon alang sa mga malisyosong sangkap. Maayo kana!
Adunay mga research sample database ug dataset para sa pag-analisa (pipila lang ang among gigamit), apan ang mga entry gi-update lang kung nahibal-an na ang malisyosong pakete, nga kasagaran ulahi na kaayo. Kung interesado ka, ang OpenSSF Mga Pakete nga Makadaot nindot nga pagsugod.
Sa sunod nga post, atong hisgutan kon unsaon pagkahibalo kon ang usa ka pakete malisyoso. Spoiler: oo, adunay mga paagi sa pagsusi sa mga malisyoso nga sangkap og sayo atol sa exposure window, sa dili pa tangtangon sa registry ang usa ka nailhan nga malisyoso nga sangkap.
Dugang nga pagbasa
Sa sunod nga yugto nga "Pagpanalipod Batok sa Open Source Malicious Packages: Unsa ang (Dili) Molihok" atong hisgutan ang mga angay ug dili angay buhaton para sa open-source security. Kadaghanan sa mga propesyonal nga nahibalo sa seguridad adunay mga intuwisyon kung unsaon pagdumala kini nga hulga, apan daghan ang mga sayop nga pagsabot.
Atong ribyuhon kon nganong sayop kini nga mga ideya, ug kon giunsa nga ang maong mga sayop nga pagsabot nakatampo sa pagkapopular niining mekanismo sa pag-atake, ug sa dakong risgo nga nasinati sa mga organisasyon. Atong ipadayon unya kon unsa ang epektibo, ug unsa ang paningkamot ug mga kahinguhaan nga nalangkit.
Ug, among i-post ang mahitungod sa ebolusyon sa mga malisyosong pakete base sa ilang tuyo, mekanismo sa pag-inject, ug mga teknik sa pag-atake.
Magpadayon nga tune!
