악성 소포의 분석: 최신 동향은?

이전 에피소드에서, 오픈 소스 악성 패키지: 문제점우리는 위협 행위자들이 왜 그렇게 행동하는지에 대해 논의했습니다. 새로운 악성 구성 요소를 게시하거나 기존 구성 요소의 최신 버전에 악성 코드를 주입하는 데 열광하는 경우: 오픈 소스 인프라를 통해 누구나 어디서든 임시 계정을 만들 수 있습니다. 컴포넌트 레지스트리(NPM, PyPI, Docker Hub 또는 Visual Studio Marketplace 등) 또는 협업 개발 플랫폼(GitHub 등)에서 사용할 수 있습니다. 비용이 전혀 들지 않으며, 소프트웨어 팀이 전통적으로 타사 컴포넌트에 대해 갖는 높은 신뢰를 활용할 수 있는 많은 기회를 제공합니다. 

오픈소스 소프트웨어에 사용 가능한 인프라를 이용해 공격자가 악성코드를 배포하는 것이 얼마나 쉬운지와 소프트웨어를 개발하는 조직(모두?)이 악성코드에 감염되지 않도록 하고, 또한 자신이 배포하는 소프트웨어에 악성코드를 포함시키지 않도록 하는 것이 얼마나 어려운지 사이의 비대칭성 때문에 작년에 악성 패키지 수가 거의 25만 건에 달했습니다. 

이 문제는 규모가 너무 커서 어느 한 조직만으로는 해결할 수 없으며, 커뮤니티는 신뢰, 기본적으로 안전한 설계 및 설계 단계부터 안전한 원칙, 그리고 구성 요소의 수명 주기와 관련하여 오픈 소스 프로세스를 재정립하는 과정에 있습니다. 다음 에피소드에서 이러한 아이디어들을 살펴보겠습니다. 오픈소스 악성 패키지로부터 보호하기: 효과가 있는 것과 없는 것.

우리가 이야기하는 것은 대부분 다음과 같은 소프트웨어 구성 요소라는 점을 기억하세요. 소프트웨어 패키지재사용 가능한 구성 요소들을 패키징하여 소프트웨어 매니페스트에서 종속성으로 참조하고 패키지 관리자 또는 빌드 도구를 사용하여 설치할 수 있도록 합니다. 이 경우는 공개된 구성 요소들을 포함하도록 확장될 수 있다는 점에 유의하십시오. 컨테이너 이미지 (컨테이너 런타임 및 Kubernetes와 같은 오케스트레이션 플랫폼에서 사용됨) 소프트웨어 도구의 확장 기능 (빌딩, 자동화 및 배포용) 

여기서는 이것이 어떻게 작용하는지 분석합니다. 악성 구성 요소를 기반으로 한 공격 전술 과거 사례와 저희 악성코드 조기경보 플랫폼에서 확인한 바에 따르면, 이는 효과적입니다. (MEW). 우리는 악성 구성 요소를 다양한 차원에서 분석할 것입니다. 

(1) 배포를 위해 선택된 방식(새로운 구성 요소 또는 기존 구성 요소에 사용된 레지스트리 및 게시된 구성 요소 버전을 감염시키는 데 사용된 기술), (2) 악성 프로그램이 활성화되거나 트리거되는 방법, (3) 악성 행위, 즉 어떤 유해한 행위가 관찰되고 공격자의 동기가 무엇인지, (4) 난독화, 눈에 띄지 않게 숨기기, 측면 이동, 명령 및 제어(C2) 호스트와의 통신 등에 일반적으로 사용되는 기술, (5) 피해자가 구성 요소를 설치하게 될 만큼 충분한 인기와 신뢰를 얻는 기술.

선택된 유통 메커니즘

우리는 다음과 같은 것을 관찰합니다.배경 소음"타이포스쿼팅(typosquatting)을 이용한 조잡한 악성 패키지들이 있는데, 이는 의존 패키지 이름에 오타가 있는 것을 이용해 부주의한 개발자들을 피싱 공격하는 수법입니다. 많은 인기 패키지들이 비슷한 이름의 오타 패키지들을 대량으로 배포받고 있으며, 이는 일부 부주의한 개발자들을 대상으로 한 피싱 공격으로 이어집니다." 

그들은 임시 계정을 사용하여 타이포스쿼트 패키지 그룹을 게시하고, 또 다른 계정을 만들어 또 다른 그룹을 게시합니다. 자동화와 창의력을 발휘하여 어느 정도 정교한 수법을 사용하기도 하지만, 일반적으로는 상당히 단순합니다. 우리는 내부적으로 이러한 행위를 "멸치자격 증명 탈취가 주된 목표이지만, 때때로 스파이웨어가 소스 코드나 개인 식별 정보(PII)와 같은 민감한 데이터를 유출하거나, 클립보드 내용을 캡처하는 등 다른 악의적인 행위를 저지르는 경우도 있습니다.

갑자기 더욱 정교한 악성 구성 요소, 즉 "상어"들이 등장하고 있습니다. 소수의 악성 프로그램은 특정 그룹이나 조직을 표적으로 삼으며, 일반적으로 조건부로 활성화되는 암호화폐 탈취 프로그램이나 웹 스키밍 프로그램을 사용합니다. 이는 아마도 이전에 목격된 방식과 유사할 것입니다. 이벤트 스트림 사건 공격 페이로드를 복호화하는 것은 해당 패키지가 대상 패키지에서 참조될 때만 적용됩니다. 

유통 메커니즘은 훌륭하고 이제는 고전이 된 논문에서 분석되었습니다.배신자의 칼 컬렉션: 오픈 소스 소프트웨어 공급망 공격 검토꼭 읽어봐야 할 자료입니다. 이 멋진 도표를 전에 본 적이 있을 겁니다. 

그리고 또한 "이것은 간단한 의존성 혼동 공격 개념 증명입니다.면책 조항 설명 package.json이는 악의적인 의도가 없더라도 서비스 약관을 명백히 위반하는 행위입니다. 

다행스러운 소식이 있습니다. 아직까지 악성 구성 요소를 통한 랜섬웨어 공격은 발견되지 않았습니다. 알 수 없는 이유로 사이버 범죄자들은 ​​이메일 피싱, RDP 기반 공격, 드라이브 바이 다운로드와 같은 보다 전통적인 공격 방식을 선호하는 것으로 보입니다. 

관찰된 추가 기술