I le vaega muamua, Afifi Matagā Fa'aleaga Puna Tatala: O Le Fa'afitauli, na matou talanoaina pe aisea na matua faigata ai i latou na faia ni faamata’u naunau e lolomi ni vaega fou leaga pe tuiina ni polokalama leaga i lomiga lata mai o vaega o loʻo iai: O le atinaʻe tatala e mafai ai e soʻo se tasi i soo se mea ona fatuina se teugatupe le tumau i totonu o se resitala o vaega (e pei o le NPM, PyPI, Docker Hub po'o le Visual Studio Marketplace) po'o se fa'avae atina'e fa'atasi (e pei o le GitHub). E leai se tau, ma e tele avanoa e fa'aaogaina ai le fa'atuatuaga tele e masani ona iai i 'au fa'akomepiuta i vaega a isi vaega.
O le lē tutusa i le va o le faigofie ona tufatufa atu e tagata osofaʻi polokalame leaga e faʻaaoga ai le fausaga o loʻo avanoa mo le open source, ma le faigata mo faʻalapotopotoga o loʻo atiaʻe polokalame faakomepiuta (tagata uma?) ona ʻalofia le aʻafia i polokalame leaga (ma le tuʻuina atu o polokalame leaga i totonu o polokalame latou te tufatufa atu mo isi), na taitai atu ai i le kuata miliona o afifi leaga na toetoe lava a oʻo i le tausaga talu ai.
O se faʻafitauli tele lea e leai se faʻalapotopotoga e tasi e mafai ona foia, ma o loʻo iai le alalafaga i le faagasologa o le toe faʻatulagaina o le faiga o le open source e faʻatatau i le faʻatuatuaga, mataupu faavae o le saogalemu-e-le-faʻatulagaina ma le saogalemu-e-e-le-fuafuaga, ma le taamilosaga o le olaga o vaega. O le a tatou vaʻavaʻai i ia manatu i le isi vaega. Puipuiga Mai Afifi Malie a le Open Source: O a Mea e (Le) Aoga.
Ia manatua o loʻo tatou talanoa e uiga i vaega o polokalama faakomepiuta e tele taimi e fesoʻotaʻi ma afifi polokalama: vaega e mafai ona toe fa'aaogaina ua fa'aputuina ina ia mafai ona fa'asino i ai o se fa'alagolago i se fa'aaliga o polokalama faakomepiuta, ma fa'apipi'i fa'atasi ma se pule o afifi po'o se meafaigaluega fau fale. Fa'amolemole ia matau e mafai ona fa'alauteleina lenei mataupu e aofia ai le lautele ata o koneteina (fa'aaogaina e taimi e fa'agaoioi ai koneteina ma fa'avae fa'atulagaina e pei o Kubernetes), ma fa'aopoopoga i meafaigaluega fa'akomepiuta (mo le fausiaina, fa'aautomatika, ma le fa'atinoina).
O iinei tatou te iloiloina ai pe faapefea ona togafiti o osofaʻiga e faʻavae i luga o vaega leaga e aoga, e tusa ai ma faʻataʻitaʻiga ua mavae ma mea ua matou vaʻaia i la matou faʻavae mo le Malware Early Warning (MEW). O le a matou iloiloina vaega leaga i itu eseese:
(1) le auala na filifilia mo le tufatufaina atu (resitala na faʻaaogaina, i se vaega fou poʻo se vaega o loʻo iai, ma le metotia na faʻaaogaina mo le faʻamaʻisia o le lomiga o le vaega na lolomiina), (2) le auala e fa'agaoioia ai pe fa'aosofia ai le malware, (3) le amioga leaga e pei o a gaioiga fa'aleagaina ua matauina ma o le fea le uuna'iga a le tagata osofa'i, (4) o a metotia e masani ona fa'alilolilo ai, natia mo le le iloa, gaioiga i autafa, fesoota'iga ma le pulega ma le pulea (C2) 'au talimalo, ma isi mea fa'apena; ma le (5) metotia mo le mauaina o le lauiloa ma le fa'atuatuaga ina ia i'u ai ina fa'apipi'i e tagata ua a'afia le vaega.
O le Faiga Fa'asalalau ua Filifilia
Matou te matauina se "pisa i tua"o afifi leaga e le faigata ona faʻaaogaina le typosquatting e phish ai tagata atiaʻe e le mataala i se typo i le igoa o le afifi mo lo latou faʻalagolago. O le tele o afifi lauiloa e maua le tele o afifi tutusa igoa ma typo, ma le faʻamoemoe o le a latou phish nisi o tagata atiaʻe e le mataala.
Latou te faʻaaogaina se teugatupe e le tumau, lolomiina se vaega o afifi typosquat, fatuina se isi, ma lolomiina se isi vaega… Faʻaaogaina nisi o masini otometi ma le atamai e mafai ona latou maua ai ni nai mea atamai, ae e masani lava e fai si faigofie. Matou te taʻua i latou i totonu o le "anchoviesO le gaoi o fa'amaoniga o le sini autū lea, ae o nisi taimi tatou te maua ai spyware o lo'o fa'asalalauina le code puna po'o fa'amatalaga ma'ale'ale e pei o fa'amatalaga e iloa ai tagata ta'ito'atasi (PII), pu'eina o le clipboard, ma isi popolega.
A o tatou vaaia faafuaseʻi ni vaega leaga e sili atu ona faigata, o “maliu”. O se vaega toalaiti e faʻatatau i ni vaega poʻo ni faʻalapotopotoga faʻapitoa, e masani lava i crypto drainers poʻo web skimmers e faʻagaoioia faʻapitoa, atonu e mulimuli i le auala na vaʻaia i le mea na tupu i le vaitafe o mea tutupu o le fa'aliliuina o le uta o le osofa'iga pe afai o lo'o fa'asino i ai le afifi mai se afifi fa'amoemoeina.
Sa iloiloina le faiga o le tufatufaina atu i le pepa sili ona lelei ma ua lauiloa nei, "O le Backstabber's Knife Collection: O se Iloiloga o Osofa'iga o le Open Source Supply Chain", o se mea e tatau ona faitau i ai. E mautinoa lava ua e vaʻai muamua i lenei siata manaia:
Sa suʻesuʻeina auala uma, e aofia ai afifi fou ma afifi ua iai; aʻafia ai le code punaoa, le faiga o le fausiaina, poʻo le vaega lava ia o loʻo afifiina; faʻaaogaina o faʻamaoniga gaoia poʻo le faʻainisinia lautele; faoa faamalosi tala ma fale teuoloa ua tuulafoaʻiina pe faʻaleagaina tala o loʻo tausia. O nisi osofaʻiga na maua ai igoa (Faʻailogaina, Fenumiai i le Faalagolago, Fenumiai Fa'aaliali, Repo-jacking. ma isi) ma ua uma ona talanoaina i se isi mea.
Ae fa'apefea la resitala ua filifilia?
O loʻo faʻaauau pea ona taʻimua le NPM i le aofaʻi atoa o afifi leaga, ae na matou vaʻaia se faʻaopoopoga na amata i le tausaga nei i le PyPI. O le Python o se faiga lauiloa mo le saienisi o faʻamaumauga ma le aʻoaʻoina o masini. O le mea moni, ua maualuga atu nei le tele o polokalama leaga i le PyPI nai lo le NPM.
Auala e fa'agaoioia ai le malware
E na'o le 4 mai le 10 mataupu e fa'agaoioia ai afifi leaga i le taimi o le fa'apipi'iina (i tausaga talu ai nei e toetoe lava 6 mai le 10). O isi e fa'atinoina amioga leaga i le taimi e fa'agaoioia ai, ma le 1 mai le 100 e fa'agaoioia a'o fa'atinoina su'ega. E foliga mai ua iloa e fili o le fa'atinoina o tusitusiga fa'apipi'i e le'i pulea sa fa'agata i le tele o nofoaga.
O a mea o loʻo maua e tagata leaga?
O le a matou lisiina vaega o amioga leaga, faatasi ai ma le sili ona lauiloa muamua. Faamolemole ia matau o aafiaga e mafai ona matua eseese lava: a solo e matuā fa'aleagaina lava, ae e lē o se mea masani ma e na'o ni nai mataupu na va'aia, e feso'ota'i ma taua fa'atekinolosi fa'apitoa po'o le fa'a'ole'ole mata'utia. O vaega nei e masani lava:
- InfoStealer / Fa'ailoga Fa'ailoga. E sili atu i le 90% o osofaʻiga e le faigata tele, o ni tagata gaoi faigofie e masani ona sailia ni faʻamaoniga e pei o upu faʻalilolilo, faʻailoga ulufale, ki API, ma ki tumaoti (mo SSH ma isi mea faapena). Atonu o le mea sili ona faigofie ona tusia (faʻatasi ai ma mea e fufulu ai?). Latou te lisiina faila/faʻasinomaga ua iloa ma isi punaoa (e pei o ki resitala), afifiina mea o loʻo i totonu, ma auina atu na faʻamatalaga i se 'auʻaunaga C2. O le manatu e faigofie: "Ou te lolomiina se gaoi mo faʻamaoniga phishing, ina ia mafai ona ou faʻaaogaina mulimuli ane faʻamaoniga mo le faʻalauiloaina o se osofaʻiga faʻatonutonu".
O feso'ota'iga C2 ua matauina e masani lava ona taugofie ma palapala, e pei o auala Telegram po'o meafaigaluega eliina ai alavai e pei o le ngrok (e masani lava i le tulaga o sui fa'afeagai e fa'aalia e ala i VPN egress IPs). E faitau selau (!) avanoa, fa'atasi ai ma le tele o galuega faatino a le GitHub i lalo o le autu o le gaoi upu faataga. E seasea ona iai ni fa'apitoa fa'apitoa e pei o keyloggers mo afifi leaga ma ata o koneteina, ae e sili atu ona taatele i fa'aopoopoga o meafaigaluega, lea e fa'amoemoeina ai fegalegaleaiga a tagata fa'aoga.
- Mea e Fa'a'a'e ai le Toto / Mea e La'uina Mai ai. O le lona lua lea i le lauiloa, e masani ona muamua i osofaʻiga e tele vaega. E silia ma le tasi i le tolu o vaega leaga e iai ni droppers (pe afai o le payload leaga e aofia i totonu o le afifi) poʻo ni downloaders (o le payload e sii maia mai se endpoint i lalo o le pule a le tagata osofaʻi). O le payload e masani lava o se ituaiga malware binary ua iloa, ma e faʻagaoioia ma o nisi taimi e faʻaauau pea, mo le faʻapipiʻiina o backdoors, spyware, crypto drainers, ma isi faʻaoga. O le payload ua sii maia pe faʻapipiʻi e amata ai se osofaʻiga lona lua-vaega ma le malosi uma e maua mai i binaries malware o loʻo iai. E mafai ona tufatufa binaries i totonu o le afifi, e masani ona faʻafoliga o ni ata poʻo ni ituaiga faila e le afaina, e aloese ai mai le iloa aʻo fesoʻotaʻi atu i nofoaga e leʻi mafaufauina.
- Tagata Gaoi Tupe Fa'akomepiuta / Tagata Eliina. O fili e naunau e faʻamalosia i tupe e faʻaaoga au aseta ao mo le faʻagaoioia o cryptominers (latou te iloa foʻi pe o loʻo latou faʻagaoioia i totonu o se cloud VM). Latou te le popole i le fua faatatau maualalo o tupe mama o le $1 mo $53 uma e totogi i le tagata ua aʻafia mo le gaoia o le atinaʻe o le ao. Atonu e le iloa e tagata ua aʻafia lenei mea seʻia vagana ua latou mauaina se pili e leʻi mafaufauina. O le mea e laki ai, e sau ma mou atu lea mea. Cryptojacking o fa'asalalauga i afifi leaga e masani ona oso a'e ona mou atu lea, o le phishing mo tagata fa'aoga atotupe pe iu ai ina taula'i atu i le kamupani e tu'uina atu atotupe, e pei o le Osofa'iga a le Ledger.
O isi amioga, e pei o le faʻatinoina o se tuafale mo le faʻatinoina o tulafono mamao e ala i le tatalaina o se atigi faʻafeagai e seasea ona faia i le taimi nei nai lo le taimi ua tuanaʻi. Mo se faʻataʻitaʻiga, o le 123rf_contributor_web o le afifi (ua aveese nei mai le resitala) e tatala e aunoa ma se fa'alavelave o se atigi fa'afeagai na kopiina ma fa'apipi'i mai le Pepa Fa'ata'ita'i o le Reverse Shell:
I le fa’aopoopoga i vaega fa’aletulafono ma mea leaga, ua matou matauina fo’i le tele o fa’aleaga, e aofia ai:
Afifi spam
E faitau afe afifi laiti, o le tele lava i le NPM, e leai ni polokalama faakomepiuta ae folafola mai ai ni tupe maua faigofie, suauu gata, sootaga i taulaga Viagra, ma isi mea faapena. E toaitiiti tagata faaaoga e lolomiina ia spam ma aveese le tele o le bandwidth mai le resitala. O le isi tagata fai ata atonu mai Initonesia na taumafai e maua se penefiti e ala i le fa'aaogā sese o le teaRank ua fa'amoemoe e tauia ai tagata atia'e polokalama tatala, e ala i le fatuina o le faitau afe o afifi NPM feso'ota'i fa'atasi ma fale teuoloa GitHub taufaasese. O se soliga manino lea o tuutuuga o le fa'aaogaina.
Taufaasese o le taui mo iniseti ma suʻesuʻega tau puipuiga
A faʻamatalaina e se afifi ia lava o se faʻamatalaga e aveese mo ni faʻamoemoega lelei, e pei o le iloa o ni faʻaletonu o le saogalemu mo polokalame o mea sese poʻo le suʻesuʻeina o nisi vaega o le siosiomaga. Ua matou vaʻaia le faitau afe o afifi i lenei vaega, e aumai ai faʻamatalaga faʻailoa ae le o ni faʻamatalaga maaleale tele i se tuatusi Burp Collaborator mai PortSwigger (e pei o le talimalo i le oastify.com domain). Matou te matauina soo ni kopi o le Fenumiai i le Faalagolago fa'amaoniga-o-manatu e Alex Birsan, e pei o le aurora-webmail-pro afifi (ua aveese mai le resitala), lea e na o le faʻatinoina o lenei tulafono leaga i le tusitusiga muamua-faʻapipiʻi:
Ma sa aofia ai foʻi se "O le Fa'amaoniga o le Manatu o le Osofa'iga Faigofie o le Fenumiai o le Fa'alagolago"fa'amatalaga o le tete'ega i totonu o le afifi.json. O se soliga manino lea o tuutuuga o le tautua, e tusa lava pe leai se fa'amoemoega leaga.
O se tala lelei? E le'i va'aia lava (i le taimi nei) ni osofa'iga a ransomware o lo'o fa'atinoina e ala i vaega leaga. Mo ni mafua'aga e le o iloa, e foliga mai e sili atu i tagata solitulafono fa'atekinolosi ona fiafia i auala masani e fa'atau ai imeli, fa'avae i luga o le RDP, ma auala e lafo mai ai le la'uina mai i luga o le drive-by.
Isi Tomai Fa'aopoopo na Matauina
E tele metotia na faʻaaogaina mo le finafinau, sola ese mai le puipuiga, aoina mai o faʻamatalaga, fesootaʻiga ma 'au e pulea ma pulea, ma le faʻaesea mai fafo.
Tumau I vaega leaga e maua e ala i le faʻaaogaina o foliga o le persistence i se malware binary lona lua, ae o nisi taimi o le amioga e maua i totonu o le code o le afifi, faatasi ai ma galuega faatulagaina ma suiga i le resitala o le Windows e sili ona taatele.
Faʻaaogaina e masani ai, ae e le faigata. O le tele o afifi e fa'aletonu ai tusitusiga (manatua le "anchovies"?) e le fa'aaogaina le fa'alilolilo; e to'atele e fa'aaogaina ni mea faigofie (base64/hex encoding po'o ni substitution ciphers e pei o le rot13) pe fa'aaoga fo'i code obfuscators ma le fa'aitiitia, lea e faigofie ona toe fa'afo'isia i meafaigaluega sa'o. Na'o "sharks" e faia le fa'alilolilo moni, faigata ona toe fa'afo'isia.
Atonu e natia e le fa'alilolilo le osofa'iga, ae aiseā e mana'omia ai ona fa'alilolilo le code i totonu o se vaega tatala-punaoa? E i ai ni fa'amaoniga e mana'omia ona natia se mea mai le va'ai manino? Ua matou maua le tele o fa'ata'ita'iga o afifi e le o ni mea leaga e fa'aogaina le fa'alilolilo e puipuia ai meatotino tau le atamai, lea e feteenai ma le "open source". E mafai ona fa'aogaina le fa'alilolilo o se fa'amaoniga o polokalama leaga, ae e le o se fa'amaoniga mautinoa. E faigata fo'i ona fa'amatalaina.
solaʻaga mai pulega puipuiga e faʻaaogaina ni metotia faigofie. E masani ona puipuia tulafono faʻaleaga i totonu taumafai … pu'e poloka e le amana'iaina so'o se tuusaunoaga, o lea e le fa'aalia ai gaioiga e le masani ai i totonu o ogalaau. E seasea ona fa'amaonia le siosiomaga (o lo'o fa'agaoioia i totonu o se VM po'o se koneteina), se'i vagana ai mo malware o lo'o taula'i i se fa'alapotopotoga po'o se siosiomaga fa'apitoa.
O le fa'afoliga o faila binary i ata ma faila PDF (e pei o le steganography) o le isi lea metotia na va'aia e 'alo 'ese ai mai le iloa.
Ona o vaega leaga e masani ona iai o le gaoi faamatalaga, faʻamaumauga o faʻamatalaga e taua tele. O mea lilo (upu fa'alilolilo, fa'ailoga ulufale, ki API, ki fa'alilolilo) e masani ona su'esu'eina i faila o tala, fesuia'iga o le siosiomaga, ma e o'o lava i le laupapa fa'apipi'i (e va'aia i trojans faletupe ma gaoi crypto). E masani fo'i ona fa'ate'aina le code puna, aua e masani ona faia le fa'apipi'iina o le afifi i totonu o se node atina'e lea e ono kopiina ai nofoaga teu oloa git i totonu. Ua matou va'aia afifi o lo'o fa'avasegaina fa'asinomaga e su'e ai nofoaga teu oloa git. O le su'eina o nofoaga e pei o le .env, private.pem, settings.py, app.js, po'o le application.properties e masani lava.
O le Exfiltration o se isi gaioiga ua faʻaaogaina lautele. E naʻo ni nai afifi leaga e taumafai e natia le taunuuga o faʻamatalaga ua aveeseina. O auala Telegram ma ana e pei o le ngrok e masani ona fa'aaogaina. Ma e tele e masani ona fa'apa'epa'eina vaega e fa'aaogaina mo le fa'amamāina.
O isi metotia, e pei o le fa'ateleina o avanoa fa'apitoa po'o le gaioiga i autafa, sa seāseā taatele.
Mauaina o le Lauiloa ma le Faatuatuaga
Se'i va'ai faalemafaufau i se tagata fa'apiopio fa'atekonolosi ma se tagata fasioti tagata ua uma ona saunia ma mafaufau: "E fa'apefea ona ou fa'atuatuaina lenei fasi mea leaga i na tagata valea e le masalomia?".
O lona uiga o le auala e fai ai le ulufale mo le vaega leaga e faʻaalia ai le tele o fetu / va (mo le lauiloa), faʻatasi ai ma lomiga / mataupu ma pull requests (mo gaoioiga). O le manatu ia maua le lauiloa e le moni (fetu) ma ē faalagolago i ai, ma se foliga faatalitonuina e uiga i le talafeagai ma le tausiga.
E le siakiina e le resitala pe tutusa mea o loʻo i totonu o se poloketi GitHub ma mea o loʻo i totonu o le afifi.. O se mataupu ua lauiloa tele lea i le sapalai o polokalama faakomepiuta. O resitala faitele o ni lua tetele e foloina mea uma e lafo atu ia i latou. E mafai ona e fa'afeso'ota'i so'o se nofoaga e teu ai fa'amatalaga.
Afai e sese le fa'asologa o le afifi leaga i se afifi lauiloa, e faigofie lava: na'o le fa'asino i le teuina o GitHub o lo'o iai i le fa'amaoniga o fa'alagolago na fa'aaogaina mo le fatuina o le afifi ma le lolomiina i totonu o le resitala. Mo afifi fou i luga o se teuina pepelo a GitHub, atonu e te mana'omia le tele o le atamai, atonu o le fatuina o mea pepelo. va'ai fetu/vaeluaga Fa'amaumauga GitHub e ala i le scripting.
Afai fo'i e tutusa lelei mea o lo'o i totonu o lau afifi ma le repo, fa'aopoopo ni nai suiga ua mamanuina lelei iinei ma iina… E mafai ona e tuiina lau malware i totonu o se afifi fou e foliga tutusa ma se afifi lauiloa e fa'asino i le teuina o lo'o iai nei, ma fa'atali mo ni mea sese. Afai e lototele se tasi e fa'atusatusa mea o lo'o i totonu o le afifi tarball ma mea mai le GitHub repository, e faigofie ona misia eseesega i nofoaga e tuiina ai malware. Ua tele taimi na tatou va'aia ai lenei auala muamua.
O se auala e mafai ai e se vaega ona faia se faʻamatalaga e le faʻalavelaveina e uiga i le amataga, le auala na fausia ai le afifi, o a punaoa, ma o ai e ana, e taliaina. Ae o se isi tala lena.
O se polokalama leaga ea le vaega X?
E iai se faʻamaumauga (atoatoa) o afifi leaga? Leai. O vaivaiga tatala-punaoa e iai se CVE ID ua atofaina, ae na o ni nai afifi leaga (aemaise lava i latou e lauiloa) e tuʻuina atu i ai. O le CWE mo afifi leaga e CWE-506 (fa'ailoga leaga ua fa'apipi'iina).
E le o faia ni sauniuniga faapitoa mo vaega leaga e masani ona faaaoga e polokalame leaga (VirusTotal, MalwareBazaar, SOREL-20M…). E matuā manaia lava lena!
O loʻo i ai faʻamaumauga faʻataʻitaʻiga mo suʻesuʻega ma seti o faʻamaumauga mo le auʻiliʻiliga (matou te faʻaaogaina ni nai mea), ae o faʻamaumauga e faʻafouina pe a iloa le afifi leaga, lea e masani ona tuai tele. Afai e te fiafia i ai, o le OpenSSF Afifi Fa'aleaga o se amataga lelei.
I le isi pou, o le a tatou talanoaina pe faʻapefea ona iloa pe o se afifi ua tuʻuina atu o se mea leaga. Faʻamatalaga: ioe, e iai auala e siaki ai vaega leaga i le taimi muamua i le taimi e faʻaalia ai, aʻo leʻi aveeseina e le resitala se vaega leaga ua iloa.
faitau le gata i
I le isi vaega "Puipuiga Mai Afifi Malie a le Open Source: O a Mea e (Le) Aoga" O le a tatou talanoaina mea e fai ma mea e le tatau ona fai mo le puipuiga tatala-punaoa. O le toatele o tagata tomai faapitoa e mataala i le saogalemu e iai o latou lagona i le auala e taulima ai lenei taufaamataʻu, ae e tele foi manatu sese.
O le a matou iloiloina pe aisea e sese ai nei manatu, ma pe faapefea ona fesoasoani ia manatu sese i le lauiloa o lenei auala e osofaia ai, ma le lamatiaga tele o loo feagai ma faalapotopotoga. O le a matou faagasolo atu i mea e aoga, ma po o le a le taumafaiga ma punaoa o loo aofia ai.
E le gata i lea, o le a matou faʻasalalauina e uiga i le alualu i luma o afifi leaga e tusa ai ma lo latou faʻamoemoega, auala e tuiina ai, ma metotia o osofaʻiga.
Tumau mafaufau!
