Ataque de confusão de dependência do npm no AWS Lambda: a campanha 24712-pl

especialmente quando a editora é pública, tem baixa reputação, não é verificada ou está fora do registro interno esperado.

Por fim, adicione CI/CD guardrails em torno dos scripts de instalação. Isso é especialmente importante porque os scripts do ciclo de vida do npm podem ser executados durante a instalação do pacote, antes que os desenvolvedores importem qualquer coisa. Para mais informações sobre CI/CD padrões de detecção, veja Xygeni's Os 10 principais indicadores de comprometimento em CI/CD Pipelines e Total Guardrails pela CI/CD Pipelines.

Ações de registro sugeridas

Este agrupamento já não havia sido publicado no momento da elaboração do relatório, mas a sua não publicação não elimina o risco.

Ações recomendadas no npm:

• Confirme se as remoções de publicação foram uma ação de limpeza iniciada pelo atacante ou uma ação legítima do mantenedor.
• Suspender ou banir a conta do editor pelavelle.
• Adicione pelavelle@clovercode.com, os nomes dos pacotes e a expressão regular dos nomes dos pacotes para abusos do npm e listas de bloqueio da cadeia de suprimentos.
• Conservar amostras de alcatrão não publicadas em armazenamento interno para fins forenses.
• Extraia o exato phoneHome() URL de destino dos arquivos tarballs preservados.
• Confirme se todos os pacotes irmãos compartilham a mesma carga útil.
• Notifique as organizações afetadas se a telemetria de download ou instalação do pacote indicar exposição.

Lista de verificação para resposta a compromissos

Se algum pacote afetado aparecer em arquivos de bloqueio, logs de CI, caches de pacotes, camadas Lambda, imagens de implantação ou artefatos de compilação, trate-o como um possível evento de execução relacionado à confusão de dependências.

Resposta recomendada:

• Identifique onde o pacote foi instalado: estação de trabalho local, executor de CI, compilação da camada Lambda, imagem de implantação ou ambiente de execução.
• Preserve os arquivos de bloqueio, o cache do npm, os registros de compilação, os artefatos de implantação e as camadas da imagem do contêiner.
• Verifique se a instalação ocorreu em um ambiente onde AWS_LAMBDA_RUNTIME_API foi configurado.
• Analise os registros HTTP de saída em busca de informações desconhecidas. phoneHome() destinos durante a janela de instalação.
• Audite os registros de invocação do Lambda em busca de eventos descartados, ausentes ou anômalos.
• Rotacione os segredos expostos ao ambiente de instalação, especialmente chaves da AWS, tokens de CI, credenciais de implantação e URLs de banco de dados.
• Analise as camadas Lambda e as imagens de implantação em busca de cópias em cache do pacote.
• Impor a fixação de registros privados para prefixos de pacotes internos.
• Bloquear a resolução pública do npm para nomes de pacotes que parecem internos.
• Adicione guardrails pela preinstall, install e postinstall scripts.

Como a Xygeni ajuda a detectar isso mais cedo

Esta campanha é exatamente o tipo de caso em que as equipes de segurança precisam de algo mais do que a varredura de vulnerabilidades tradicional.

Pode não haver CVEPode não haver nenhuma versão vulnerável conhecida. Pode não haver nenhum pacote de longa duração para inspecionar após a limpeza feita pelo editor.

Em vez disso, as equipes precisam de visibilidade em tempo real do comportamento dos pacotes.

Xygeni ajuda combinando:

• Detecção precoce de malware em registros públicos.
• Detecção de dependências suspeitas para evitar confusão de dependências e typosquatting.
• Análise do script de instalação para preinstall, install e postinstall comportamentos.
• CI/CD guardrails Bloquear pacotes de risco antes que cheguem aos ambientes de compilação ou implantação.
• Visibilidade da cadeia de suprimentos de software em todas as dependências, pipelines, e artefatos.
• Aplicação de políticas para nomes de pacotes internos e pacotes públicos não confiáveis.

Isso é importante porque o impacto de um ataque de confusão de dependências do npm Não se limita a laptops de desenvolvedores. Pode alcançar executores de CI, imagens de compilação, camadas Lambda, contêineres de implantação e ambientes adjacentes ao tempo de execução.

Para um contexto mais amplo sobre segurança de aplicativos e cadeia de suprimentos, consulte Pós SCA: Protegendo sua cadeia de suprimentos de software e Software Supply Chain Security Completa.

O que os defensores devem levar consigo

Esta campanha demonstra como a confusão de dependências pode ir além dos simples indicadores de prova de execução.

A carga útil não confirma simplesmente que npm install Executou. Ele tenta interagir com a API do AWS Lambda Runtime e capturar um evento de invocação real.

Essa é uma escalada significativa.

Para equipes que utilizam arquitetura sem servidor, a resolução de dependências faz parte do modelo de ameaças em tempo de execução. Um pacote npm público com um nome que parece interno pode se tornar uma porta de entrada para o contexto de execução do Lambda, dados de requisição e metadados da conta na nuvem.

A principal lição é clara: os prefixos de pacotes internos devem ser protegidos, delimitados e fixados em registros confiáveis. Os scripts de instalação devem ser tratados como superfícies de ataque executáveis, especialmente em CI/CD, construções de contêineres, camadas Lambda e implantação pipelines.

CISAs diretrizes da cadeia de suprimentos de software da empresa A enfatizam a necessidade de proteger o software, aplicar verificações de segurança e responder a vulnerabilidades continuamente ao longo do processo de desenvolvimento. Nesse caso, isso significa tratar a resolução de pacotes, os scripts de pacotes e os ambientes de compilação sem servidor como controles de segurança de primeira classe.

Reportado ao npm para aplicação de medidas em nível de conta, inclusão em listas de bloqueio e preservação de arquivos tarball não publicados.