Dlaczego samoodszyfrowujące się archiwa są nadal ulubioną metodą rozprzestrzeniania złośliwego oprogramowania
Atakujący nie potrzebują zero dni gdy programiści nadal rozpakowują dowolne pliki bez ich testowania w środowisku testowym. Samoodszyfrowujące się archiwum pozostaje jedną z najskuteczniejszych metod dostarczania złośliwego oprogramowania, ponieważ wykorzystuje właśnie to: zaufanie programistów do kodu wewnętrznego, artefaktów kompilacji i narzędzi innych firm.
w odróżnieniu standard ZIP, samoodszyfrowujące się archiwum, wykonuje proces rozpakowywania jako program. Ta prosta sztuczka omija większość skanerów statycznych i opartych na sygnaturach, zwłaszcza gdy jest zamaskowana jako legalny instalator lub aktualizacja. Po uruchomieniu archiwum może rozpakować trojany, oprogramowanie szpiegujące lub rejestratory naciśnięć klawiszy bezpośrednio do wrażliwych części środowiska programistycznego.
Dlaczego atakujący tak lubią samoodszyfrowywać archiwa?
- Wykonują egzekucję w milczeniu.
- Nie wymagają one interakcji z użytkownikiem poza początkowym wykonaniem polecenia.
- Wykorzystują te same granice zaufania, na których polegasz Ty: wewnętrzne skrypty, CI/CD kroki i narzędzia programistyczne.
Często można zobaczyć samoodszyfrowujące się archiwa osadzone w fałszywych zestawach SDK, zainfekowanych pakietach open source, a nawet jako złośliwe załączniki podszywające się pod optymalizatory kompilacji lub narzędzia wewnętrzne. Archiwa te stanowią jedną z najtrwalszych metod rozprzestrzeniania złośliwego oprogramowania, ponieważ wtapiają się w codzienne procesy programistyczne. W wielu przypadkach po cichu udostępniają rejestrator naciśnięć klawiszy, który rejestruje wszystko, od danych uwierzytelniających po wrażliwe polecenia, bez generowania alertów.
Od ładunku do trwałości: co tak naprawdę dzieje się po wykonaniu
Po uruchomieniu samoodszyfrowujące się archiwum nie tylko upuszcza plik binarny i znika. Wnika ono w systemy, wykorzystując błędnie skonfigurowane zasady wykonywania lub uprawnienia użytkownika. Popularnym podejściem jest wstrzyknięcie rejestratora naciśnięć klawiszy lub trojana typu backdoor do procesów w przestrzeni użytkownika lub skryptów startowych systemu.
Na przykład SDA może rozpakować trojana zdalnego dostępu (RAT), który instaluje się jako usługa lub modyfikuje .bashrc, .zshrclub profile programu PowerShell. Może również manipulować zaplanowanymi zadaniami lub używać natywnych narzędzi, takich jak schtasks or uruchomiona aby ponownie zainicjować przy ponownym uruchomieniu.
Typowe wskaźniki zagrożenia (IoC), na które powinni zwracać uwagę deweloperzy:
- Nieoczekiwane wykonanie pliku EXE lub ELF przez CLI / Tmp, %Dane aplikacji%, lub podobne.
- Nietypowy ruch sieciowy bezpośrednio po uruchomieniu nieznanych narzędzi.
- Zmodyfikowane skrypty kompilacji lub testów z podejrzanymi krokami po wykonaniu.
Te ładunki są projektowane i rzadko sygnalizowane przez tradycyjne EDR w środowiskach deweloperskich, zwłaszcza gdy są ukryte pod postacią zależności deweloperskich. Po aktywacji rejestratora naciśnięć klawiszy może on dyskretnie przechwycić wszystko, od danych uwierzytelniających deweloperów po tajne dane produkcyjne.
Gdzie deweloperzy stają w obliczu największych zagrożeń CI/CD Pipelines
I tutaj zaczyna się prawdziwe ryzyko: CI/CD pipelines.
Archiwa samoodszyfrowujące stają się szczególnie niebezpieczne, gdy natrafią na CI/CD ponieważ wtapiają się w otoczenie. Mogą być zamaskowane jako:
- Skompilowane wstępnie zestawy SDK lub narzędzia CLI wczytane do repozytoriów.
- Kompiluj zależności pobrane z niezweryfikowanych źródeł.
- Narzędzia wewnętrzne udostępniane za pośrednictwem Slacka lub poczty e-mail, a następnie commitużywane lub w skryptach.
Ogniska ryzyka
- Kompilacja agentów: Jeśli w tym miejscu zostanie wykonane SDA, może ono modyfikować zmienne środowiskowe, dane uwierzytelniające, a nawet wstrzykiwać dane do kolejnych zadań.
- Pamięci podręczne zależności: Złośliwe oprogramowanie w SDA, które dotrze do pamięci podręcznej, staje się zagrożeniem dla łańcucha dostaw. Każde zadanie pobierające dane z zainfekowanej pamięci podręcznej dziedziczy ładunek.
- Repozytoria artefaktów:Jeśli zostaną zatrute SDA, służą jako metoda dostarczania złośliwego oprogramowania do środowisk podrzędnych, w tym środowisk testowych i produkcyjnych.
CI/CD jest szybki i zautomatyzowany. Oznacza to, że jedno samoodszyfrowujące się archiwum może dyskretnie przepływać przez wiele środowisk, zanim ktokolwiek to zauważy. Co gorsza, jeśli ładunek zawiera rejestrator naciśnięć klawiszy, może leak secretjest używany na różnych etapach i nigdy nie zostaje wykryty.
Blokowanie cichego wykonywania za pomocą kontroli DevSecOps
Zapobieganie wykonywaniu samoodszyfrowujących się archiwów nie jest skomplikowane, wymaga jednak zmiany ustawień domyślnych.
Kontrole zorientowane na deweloperów, które działają:
- Wyłącz ryzykowne zasady wykonywania: Zablokuj możliwość uruchamiania plików wykonywalnych z tymczasowych lub nieznanych ścieżek. Oznacza to ustawienie odpowiednich zasad wykonywania plików na agentach kompilacji.
- Wymuś walidację artefaktów: Używaj kryptograficznych sum kontrolnych lub podpisów na wszystkich wewnętrznych narzędziach, zestawach SDK i plikach binarnych. Waliduj każdy artefakt przed jego dotarciem do… pipeline.
- Pliki binarne pierwszego uruchomienia w trybie sandbox: szczególnie w przypadku narzędzi pobranych lub dodanych niedawno. W tym celu należy używać konteneryzowanych programów uruchamiających lub izolowanych maszyn wirtualnych.
- Monitorowanie pipeline zachowanie: Flaga i alert w przypadku nietypowego zachowania wykonania, takiego jak ruch wychodzący po kompilacji lub procesy CLI niezdefiniowane w Twoim pipeline konfig.
Silny Postawa DevSecOps zakłada, że każde narzędzie może zostać naruszone. Jeśli Twoje CI/CD nie może wykryć samoodszyfrowującego się archiwum, które się przedostało, co może skutkować o wiele gorszymi błędami. Metody dostarczania złośliwego oprogramowania ewoluują, ale uruchamianie złośliwych plików binarnych w środowiskach kompilacji nadal stanowi największe ryzyko. Wykrywanie par i zapobieganie im.
Wykraczanie poza wykrywanie: jak Xygeni pomaga śledzić ścieżki rozprzestrzeniania się złośliwego oprogramowania
Wykrycie rejestratora naciśnięć klawiszy po fakcie jest już za późno. Właśnie wtedy przydają się narzędzia takie jak Xygeni materia.
Xygeni zapewnia wgląd w czasie rzeczywistym w to, co jest wykonywane w Twoim systemie pipelineNiezależnie od tego, czy jest to samoodszyfrowujące się archiwum, czy też podejrzany plik binarny podszywający się pod pomocnika do kompilacji. Jego siła tkwi w:
- Mapowanie metod rozprzestrzeniania się złośliwego oprogramowania pipelines.
- Śledzenie pochodzenia złośliwych, samoodszyfrowujących się archiwów.
- Blokowanie wykonania na podstawie wskaźników behawioralnych, a nie tylko sygnatur.
Dzięki Xygeni możesz korelować zdarzenia takie jak: „wprowadzono nietypowy artefakt w zadaniu kompilacji nr 42” → „CLI wykonał nieoczekiwany plik binarny” → „wykryto rejestrator naciśnięć klawiszy na punkcie końcowym”.
Ta możliwość śledzenia jest kluczowa, gdy próbujesz zabezpieczyć CI/CD przepływy pracy chroniące przed ukrytymi metodami dostarczania złośliwego oprogramowania.
Ostatnia linia obrony: Zatrzymaj samoodszyfrowywanie archiwów, zanim je zniszczą Pipeline
Samoodszyfrowujące się archiwa to nie tylko stary trik. Nadal stanowią jedną z najniebezpieczniejszych i najrzadziej wykrywanych metod dostarczania złośliwego oprogramowania, atakującą programistów i… pipelines.
Jeśli jesteś programistą piszącym lub zabezpieczającym kod, musisz:
- Traktuj każdą wartość binarną jako niewiarygodną, nawet w obrębie własnej pipeline.
- Wymuś walidację i testowanie wszystkich artefaktów stron trzecich.
- Monitorowanie pipeline zachowanie takie, jakby był to ruch produkcyjny.
A co najważniejsze, rozważ narzędzia takie jak Xygeni, które wykraczają poza skanowanie, narzędzia, które śledzą, namierzają i blokują złośliwe, samoodszyfrowujące się archiwa, zanim wprowadzą do twojego komputera rejestrator naciśnięć klawiszy. CI/CD stos. Przesuń w lewo, ale skanuj głębiej. I nigdy nie lekceważ tego, jak małe archiwum może stanowić poważne zagrożenie poprzez ukryte metody rozprzestrzeniania złośliwego oprogramowania.
