Zašto su samodešifrirajuće arhive još uvijek omiljena metoda isporuke zlonamjernog softvera
Napadačima nije potrebno nula-dana kada programeri i dalje raspakiraju proizvoljne datoteke bez njihovog stavljanja u sandbox. Samodekriptirajuća arhiva ostaje jedna od najučinkovitijih metoda isporuke zlonamjernog softvera jer iskorištava upravo to: povjerenje programera u interni kod, artefakte izrade i alate trećih strana.
Za razliku od standard ZIP-ovi, samodekriptirajuća arhiva, izvršavaju proces raspakiranja kao program. Ovaj jednostavan trik zaobilazi većinu statičnih i skenera temeljenih na potpisima, posebno kada su prikriveni kao legitimni instalacijski program ili ažuriranje. Nakon izvršenja, arhiva može raspakirati trojance, špijunski softver ili program za bilježenje pritiska tipki izravno u osjetljive dijelove vašeg razvojnog okruženja.
Zašto napadači vole samodešifrirajuće arhive?
- Izvršavaju tiho.
- Ne oslanjaju se na interakciju korisnika izvan početnog izvršenja.
- Iskorištavaju iste granice povjerenja na koje se i vi oslanjate: interne skripte, CI/CD korake i razvojne alate.
Često ćete vidjeti samodekriptirajuće arhive ugrađene u lažne SDK-ove, kompromitirane pakete otvorenog koda ili čak kao lažne privitke koji se predstavljaju kao optimizatori izrade ili interni alati. Ove arhive jedna su od najupornijih metoda isporuke zlonamjernog softvera jer se stapaju u svakodnevne tijekove rada programera. U mnogim slučajevima, one tiho ispuštaju zapisnik pritiska tipki koji bilježi sve, od vjerodajnica do osjetljivih naredbi, bez pokretanja upozorenja.
Od korisnog tereta do postojanosti: Što se stvarno događa nakon izvršenja
Nakon što se pokrene samodekriptirajuća arhiva, ona ne ispušta samo binarnu datoteku i nestaje. Ona se ukopava u sustave iskorištavajući pogrešno konfigurirane politike izvršavanja ili korisničke privilegije. Popularan pristup je umetanje programa za bilježenje pritiska tipki ili trojanca sa stražnjih vrata u korisničke procese ili skripte za pokretanje sustava.
Na primjer, SDA može raspakirati trojanca za udaljeni pristup (RAT) koji se instalira kao usluga ili mijenja .bashrc, .zshrcili PowerShell profile. Također bi mogao mijenjati zakazane zadatke ili koristiti izvorne alate poput schtaskovi or lansirand za ponovno pokretanje prilikom ponovnog pokretanja.
Uobičajeni pokazatelji kompromitiranja (IoC) na koje bi programeri trebali paziti:
- Neočekivano izvršavanje EXE ili ELF binarnih datoteka putem CLI-ja iz / Tmp, %Podaci aplikacije%, ili slično.
- Neobičan mrežni promet odmah nakon izvršavanja nepoznatih alata.
- Izmijenjene skripte za izgradnju ili testiranje sa sumnjivim koracima nakon izvršenja.
Ovi korisni tereti opstaju po svojoj prirodi i rijetko ih označava tradicionalni EDR u razvojnim okruženjima, posebno kada su prikriveni kao razvojne ovisnosti. Nakon što je aktivan zapisivač pritiska tipki, može tiho snimiti sve, od razvojnih vjerodajnica do produkcijskih tajni.
Gdje se programeri suočavaju s najvećim rizicima u CI/CD Pipelines
Evo gdje stvari postaju zaista rizične: CI/CD pipelines.
Samodekriptirajuće arhive postaju posebno opasne kada pogode CI/CD jer se stapaju. Mogu se prikriti kao:
- Unaprijed kompilirani SDK-ovi ili CLI alati prijavljeni u repozitorije.
- Izgradi ovisnosti preuzete iz neprovjerenih izvora.
- Interni alati dijeljeni putem Slacka ili e-pošte, a zatim committed ili korišten u skriptama.
Žarišne točke rizika
- Agenti za izgradnju: Ako se ovdje izvrši SDA, može mijenjati varijable okruženja, vjerodajnice ili čak ubrizgavati u sljedeće poslove.
- Predmemorije ovisnostiZlonamjerni softver u SDA-u koji dospije u vašu predmemoriju postaje rizik za lanac opskrbe. Svaki posao koji povlači podatke iz zaražene predmemorije nasljeđuje korisni teret.
- Spremišta artefakataAko su zaraženi SDA-ovima, služe kao metode isporuke zlonamjernog softvera koje dosežu nizvodna okruženja, uključujući staging i prod.
CI/CD je brz i automatiziran. To znači da jedna samodešifrirajuća arhiva može tiho teći kroz više okruženja prije nego što itko primijeti. Još gore, ako korisni teret uključuje zapisivač pritiska tipki, može leak secretkoristi se u svim fazama bez da je ikada otkriveno.
Blokiranje tihog izvršavanja pomoću DevSecOps kontrola
Sprječavanje izvršavanja samodešifrirajućih arhiva nije komplicirano, ali zahtijeva promjenu zadanih postavki.
Kontrole usmjerene na razvojne programere koje funkcioniraju:
- Onemogućite rizične politike izvršavanja: Zaključajte mogućnost pokretanja izvršnih datoteka s privremenih ili nepoznatih putanja. To znači postavljanje odgovarajućih politika izvršavanja datoteka na agentima za izgradnju.
- Provedite validaciju artefakata: Koristite kriptografske kontrolne zbrojeve ili potpisivanje na svim internim alatima, SDK-ovima i binarnim datotekama. Validirajte svaki artefakt prije nego što dotakne pipeline.
- Prvo pokretanje binarnih datoteka u sandboxu: Posebno za alate preuzete ili dodane nedavno. U tu svrhu koristite kontejnerizirane pokretače ili izolirane virtualne strojeve.
- Praćenje pipeline ponašanje: Označi i upozori na neobično ponašanje izvršavanja poput odlaznog prometa nakon izgradnje ili CLI procesa koji nisu definirani u vašem pipeline konfiguracija
Jaka Položaj DevSecOps-a pretpostavlja da svaki alat može biti ugrožen. Ako vaš CI/CD ne može otkriti samodešifrirajuću arhivu koja propušta, promašit će puno gore. Metode isporuke zlonamjernog softvera se razvijaju, ali izvršavanje lažnih binarnih datoteka u okruženjima za izradu ostaje glavni rizik. Spojite detekciju s prevencijom.
Više od otkrivanja: Kako Xygeni pomaže u praćenju putova isporuke zlonamjernog softvera
Otkrivanje zapisivača pritiska tipki naknadno je prekasno. Tu se koriste alati poput Xygeni stvar.
Xygeni pruža uvid u stvarnom vremenu u ono što se izvršava u vašem pipeline, bilo da se radi o samodešifrirajućoj arhivi ili lažnoj binarnoj datoteci koja se maskira kao pomoćnik za izgradnju. Njegova snaga leži u:
- Mapiranje kretanja metoda isporuke zlonamjernog softvera pipelines.
- Praćenje podrijetla zlonamjernih samodešifrirajućih arhiva.
- Blokiranje izvršenja na temelju pokazatelja ponašanja, ne samo potpisa.
Pomoću Xygenija možete povezati događaje poput: „neobičan artefakt uveden u zadatku izgradnje #42“ → „CLI izvršio neočekivanu binarnu datoteku“ → „beacon zapisivača pritisaka tipki otkriven na krajnjoj točki“.
Ova sljedivost je ključna kada pokušavate osigurati CI/CD tijekove rada protiv skrivenih metoda isporuke zlonamjernog softvera.
Posljednja linija obrane: Zaustavite samodešifrirajuće arhive prije nego što vam eksplodiraju Pipeline
Samodešifrirajuće arhive nisu samo stari trik. One ostaju jedna od najopasnijih i nedovoljno otkrivenih metoda isporuke zlonamjernog softvera usmjerenih na razvojne programere i pipelines.
Ako ste programer koji piše ili osigurava kod, trebate:
- Tretirajte svaku binarnu datoteku kao nepouzdanu, čak i unutar vlastite pipeline.
- Provedite validaciju i testiranje u sigurnosnom okruženju za sve artefakte trećih strana.
- Praćenje pipeline ponašanje kao da se radi o produkcijskom prometu.
I najvažnije, razmislite o alatima poput Xygenija koji idu dalje od skeniranja, alatima koji prate, pronalaze i blokiraju zlonamjerne samodešifrirajuće arhive prije nego što vam unesu zapisnik o pritisku tipki. CI/CD stog. Pomakni se lijevo, ali skeniraj dublje. I nikad ne podcjenjuj kako mala arhiva može predstavljati veliki rizik kroz tihe metode isporuke zlonamjernog softvera.
