alone5511 npm 依存関係の混乱攻撃

一致する箇所があれば、依存関係の混同に関するレビューをトリガーするべきである。

推奨されるレジストリ操作

このクラスターは報告時点で既に非公開となっていた。しかし、非公開にしたからといってリスクがなくなるわけではない。

推奨されるnpm側の操作：

• 非公開になったコンテンツが、正当な管理者による操作ではなく、攻撃者によるクリーンアップだったかどうかを確認してください。
• パブリッシャーアカウントを一時停止または禁止する alone5511.
• 発行元、メールアドレス、パッケージ名、ペイロードマーカーを、不正利用およびサプライチェーンのブロックリストに追加する。
• 未公開のタールボールは、鑑識のために内部保管庫に保存する。
• 保存されたtarballからTelegramボットトークンを抽出します。
• 可能であればTelegramと連携し、受信チャネルを特定して、被害者のテレメトリデータを再構築する。

妥協対応チェックリスト

影響を受けるパッケージが、暴露期間中にロックファイル、ビルドログ、パッケージキャッシュ、またはCIインストール履歴に現れた場合は、依存関係の混同による実行イベントとして扱ってください。

推奨される回答:

• パッケージがどこにインストールされたかを特定します。ローカルワークステーション、CIランナー、ビルドエージェント、またはコンテナイメージのいずれかです。
• ロックファイル、npmキャッシュ、ビルドログ、シェル履歴、およびパッケージマネージャーの出力を保持します。
• 送信ネットワークログを確認してください api.telegram.org (NAIST) と api.ipify.org インストールウィンドウ中。
• インストールが機密性の高い変数、認証情報、または内部ネットワークアクセスが存在する環境で実行されたかどうかを確認してください。
• ホストが特権を持つCIランナーまたは開発者ワークステーションであった場合、インストール環境に公開されているトークンをローテーションしてください。
• パブリックレジストリとプライベートレジストリの混同を防ぐための監査パッケージ解決構成。
• スコープ付きプライベートパッケージとレジストリピンニングを強制する。
• 内部命名パターンに一致する、承認されていない公開パッケージをブロックします。
• 追加 guardrails インストールスクリプトの場合、特に preinstall, install, postinstall.

擁護者が学ぶべきこと

このキャンペーンは技術的に複雑なものではない。だからこそ重要なのだ。

ペイロードは小さく、直接的で、実行も容易です。攻撃者は永続性や高度なマルウェアを必要としません。必要なのは、パッケージ解決パスの設定ミスだけです。

本当のリスクは、依存の混乱である。

内部的な名前、高いバージョン番号、そして preinstall フックは通常の npm install 環境内部からビーコンへと変換します。

『Brooklyn Galaxy』のために、倪氏はブルックリン美術館のコレクションからXNUMX点の名品を選び、そのイメージを極めて詳細に描き込みました。これらの作品は、彼の作品とともに中国ギャラリーに展示されています。彼はXNUMX年にこの作品の制作を開始しましたが、最初の硬貨には、当館が所蔵する DevSecOps 各チームの皆さん、教訓は明確です。内部パッケージ名は機密性の高い資産です。攻撃対象領域として扱いましょう。

アカウントレベルの強制適用、ブロックリスト化、および未公開のtarballの保存のためにnpmに報告しました。