Vào tháng 2024 năm XNUMX, Cuộc tấn công chuỗi cung ứng Polyfill.io—một ví dụ điển hình về tấn công chuỗi cung ứng phần mềm—đã xâm phạm hơn 100,000 trang web trên toàn cầu. Sự cố này liên quan đến… cướp gói hàngTrong đó, FUNNULL, một thực thể độc hại, đã giành quyền kiểm soát tên miền và kho lưu trữ GitHub của Polyfill, rồi tiêm phần mềm độc hại vào dịch vụ. Phần mềm độc hại này nhắm mục tiêu cụ thể vào người dùng di động, chuyển hướng họ đến các trang web cờ bạc lừa đảo bằng cách khai thác các lỗ hổng trong cơ chế phân phối mã động của Polyfill dựa trên tiêu đề HTTP và tác nhân người dùng.
Phân tích kỹ thuật: Cơ chế hoạt động của cuộc tấn công Polyfill
Polyfill được sử dụng rộng rãi để đảm bảo khả năng tương thích giữa các tính năng web hiện đại và các trình duyệt cũ hơn. Kẻ tấn công đã sử dụng cướp gói hàng bằng cách mua cdn.polyfill.io Tên miền và nhúng các đoạn mã độc hại. Điều khiến cuộc tấn công này trở nên nguy hiểm là hành vi tinh vi của phần mềm độc hại:
- Tạo mã độngDịch vụ của Polyfill tạo ra các phản hồi JavaScript tùy chỉnh dựa trên thiết bị truy cập trang web (ví dụ: thiết bị di động so với máy tính để bàn), tiêu đề HTTP và tác nhân người dùng. Kẻ tấn công đã khai thác tính chất động này, chèn các phần mềm độc hại được thiết kế riêng cho các thiết bị cụ thể—đặc biệt là điện thoại di động.
- Kỹ thuật né tránhPhần mềm độc hại này rất tinh ranh. Nó trì hoãn việc thực thi khi phát hiện các dịch vụ phân tích như Google Analytics, ngăn chặn các hành động của nó xuất hiện trong số liệu thống kê trang web. Thêm vào đó, nó không kích hoạt nếu phát hiện người dùng quản trị hoặc nhà phát triển, càng tránh được việc phát hiện sớm trong quá trình gỡ lỗi hoặc thử nghiệm.
- Chuyển hướng trên thiết bị di độngSau khi được kích hoạt, phần mềm độc hại sẽ chuyển hướng người dùng đến các trang web đánh bạc lừa đảo bằng cách giả mạo các tên miền hợp pháp (ví dụ: googie-anaiytics.comNhững kẻ tấn công thậm chí còn thao túng khung thời gian để giảm bớt sự nghi ngờ, chỉ thực thi mã độc trong những giờ nhất định nhằm đánh úp người dùng di động không hề hay biết.
Các trang web lớn nhất bị ảnh hưởng bởi cuộc tấn công Polyfill
tấn công chuỗi cung ứng Polyfill Ảnh hưởng đến hơn 100,000 trang web, bao gồm cả các tổ chức lớn như:
- Diễn đàn Kinh tế Thế giới
- Intuit
- JSTOR
- Ngân hàng Ireland
- Nhân viên ngân hàng Coldwell
- Live Nation
- Đại học Brandeis
- Công ty Sân bay Dubai
- Quỹ bảo vệ môi trường
Những nạn nhân nổi tiếng này nhấn mạnh phạm vi toàn cầu của vụ tấn công và tính dễ bị tổn thương của... các tổ chức lớn bị vi phạm chuỗi cung ứng.
Cảnh báo sớm và ứng phó
Andrew BettsNgười sáng tạo ban đầu của Polyfill đã cảnh báo các nhà phát triển nhiều tháng trước cuộc tấn công rằng... Ngừng sử dụng dịch vụ Polyfill sau khi mất quyền kiểm soát tên miền. Lời cảnh báo của ông hầu như không được chú ý cho đến khi cuộc tấn công của FUNNULL được phát động. Khi bị phát hiện, các mạng phân phối nội dung như Cloudflare và Fastly Ông đã cung cấp các giải pháp thay thế an toàn, đồng thời nhắc lại lời khuyên của mình dành cho các nhà phát triển là nên loại bỏ hoàn toàn các tham chiếu Polyfill.
Hiện nay không có trang web nào cần đến bất kỳ polyfill nào trong số đó. https://t.co/3xHecLPXkB Thư viện. Hầu hết các tính năng được thêm vào nền tảng web đều nhanh chóng được tất cả các trình duyệt chính áp dụng, ngoại trừ một số trường hợp thường không thể bổ sung bằng polyfill, chẳng hạn như Web Serial và Web Bluetooth.
— Andrew Betts (@triblondon) 25 Tháng hai, 2024
Ví dụ về tải trọng độc hại Polyfill
Để minh họa cho sự tinh vi của cuộc tấn công chuỗi cung ứng Polyfill, Sansec Đã cung cấp một ví dụ chi tiết về phần mềm độc hại được sử dụng. Phần mềm này tự động điều chỉnh dựa trên thiết bị của người dùng, kích hoạt chuyển hướng đến các trang web lừa đảo và sử dụng các kỹ thuật để tránh bị phát hiện. Để xem chi tiết hơn về cấu trúc kỹ thuật của phần mềm này, bạn có thể xem tại đây. của Sansec Phân tích đầy đủ và mẫu mã độc hại.
Tại sao vụ tấn công chuỗi cung ứng Polyfill lại xảy ra?
Vụ tấn công chuỗi cung ứng Polyfill nhấn mạnh tầm quan trọng của vấn đề này. lỗ hổng trong sự phụ thuộc vào bên thứ ba quản lý. Hệ sinh thái JavaScript hiện đại phụ thuộc rất nhiều vào các thư viện mã nguồn mở, và các nhà phát triển thường sử dụng các công cụ như npm để tích hợp các thư viện này một cách tự động. Nếu không có sự kiểm tra nghiêm ngặt hoặc giám sát liên tục, các gói bị xâm phạm có thể lọt qua mà không bị phát hiện, như trường hợp của Polyfill.
Hơn nữa, tốc độ phát triển và triển khai nhanh chóng trong môi trường phần mềm hiện nay thường ưu tiên chức năng và tốc độ hơn là kiểm tra bảo mật kỹ lưỡng. Kẻ tấn công khai thác lỗ hổng này, nhắm mục tiêu vào các thư viện phổ biến để tối đa hóa tác động của chúng. Trong trường hợp của Polyfill, một khi kẻ tấn công giành được quyền kiểm soát tên miền, chúng đã tận dụng việc sử dụng rộng rãi thư viện này để chèn mã độc hại vào một số lượng lớn các trang web.
Sự cố này nhấn mạnh tầm quan trọng của việc triển khai các biện pháp bảo mật nghiêm ngặt, chẳng hạn như các công cụ kiểm tra phụ thuộc, giám sát thời gian thực và các kế hoạch ứng phó sự cố mạnh mẽ, để bảo vệ chống lại các cuộc tấn công chuỗi cung ứng phần mềm tương tự. Các tổ chức phải ưu tiên bảo mật trong quy trình phát triển của mình để bảo vệ hệ sinh thái kỹ thuật số một cách hiệu quả.
Ngăn chặn các cuộc tấn công trong tương lai: Quản lý phụ thuộc mạnh mẽ
Khi quản lý các mối phụ thuộc, Xygeni's Open Source Security nền tảng Hệ thống sử dụng nhiều lớp bảo vệ, được thiết kế để phát hiện, cách ly và khắc phục các thành phần độc hại trong thời gian thực, đồng thời tránh các cuộc tấn công vào chuỗi cung ứng phần mềm.
Phát hiện phần mềm độc hại theo thời gian thựcXygeni liên tục giám sát các kho lưu trữ công khai, quét tìm mã độc hại trước khi nó được đưa vào môi trường phát triển. Điều này cho phép chủ động ngăn chặn các mối đe dọa như tấn công Polyfill, như đã được nêu bật trong của Luis Rodriguez loạt bài viết.
Cảnh báo tự động & Cách lyXygeni tự động cách ly các gói phần mềm bị xâm phạm và tạo ra cảnh báo, cho phép các nhóm phát triển hành động nhanh chóng. Bằng cách tích hợp với CI/CD pipelineNhờ đó, mọi mối đe dọa đều có thể bị ngăn chặn trước khi chúng được đưa vào sản xuất. Trong những trường hợp như sự cố Polyfill, tính năng này ngăn ngừa tác động lan rộng bằng cách chặn mã độc hại ngay từ đầu.
Ưu tiên động & SBOMXygeni tự động ưu tiên các lỗ hổng dựa trên ngữ cảnh, khả năng khai thác và tác động đến hoạt động kinh doanh. Bằng cách tạo ra một Danh mục vật liệu phần mềm thời gian thực (SBOM)Nhờ đó, các tổ chức có thể theo dõi tất cả các thành phần của bên thứ ba, đảm bảo tính minh bạch hoàn toàn. Việc giám sát theo thời gian thực này rất quan trọng khi quản lý các phụ thuộc mã nguồn mở, cho phép phản ứng nhanh chóng với các sự cố như việc chiếm quyền kiểm soát Polyfill.
Trong loạt bài viết của Luis Rodriguez, tập trung vào chủ động phòng thủ Việc chống lại các gói phần mềm mã nguồn mở độc hại được thảo luận chi tiết. Phương pháp của Xygeni không chỉ bao gồm phát hiện theo thời gian thực mà còn cung cấp các lộ trình khắc phục tự động, cho phép các tổ chức quay trở lại các phiên bản an toàn mà không làm gián đoạn hoạt động sản xuất.
Kiểm tra Các gói phần mềm độc hại mã nguồn mở Hãy đọc loạt bài viết tại đây để tìm hiểu thêm về cách Xygeni quản lý bảo mật mã nguồn mở.
Bảo vệ các thư viện mã nguồn mở của bạn khỏi phần mềm độc hại.
Khám phá các chiến lược chủ động để bảo vệ phần mềm mã nguồn mở của bạn khỏi các mối đe dọa phần mềm độc hại. Tải xuống báo cáo chuyên đề của chúng tôi để có được những thông tin thiết yếu về bảo vệ khỏi phần mềm độc hại.
Bài học từ cuộc tấn công Polyfill
Cuộc tấn công chuỗi cung ứng Polyfill.io Nó truyền đạt những bài học quan trọng về rủi ro của việc phụ thuộc vào bên thứ ba trong phát triển web hiện đại.
- Cảnh giác đối với các phụ thuộc của bên thứ baĐây là điểm quan trọng nhất cần ghi nhớ. Các tổ chức phải thường xuyên xem xét, kiểm tra và giám sát. tất cả các thư viện bên thứ ba mà họ sử dụng. Việc quá phụ thuộc vào các thư viện chưa được kiểm chứng có thể khiến hệ thống gặp phải những rủi ro nghiêm trọng.
- Các biện pháp an ninh chủ động: Giám sát liên tục, chẳng hạn như với Phát hiện mối đe dọa theo thời gian thực của XygeniCó thể phát hiện các lỗ hổng bảo mật từ sớm.
- Giáo dục và Đào tạoViệc cập nhật thông tin về các mối đe dọa mới nhất cho tất cả các thành viên trong nhóm sẽ tăng cường an ninh tổ chức.
Vụ tấn công chuỗi cung ứng Polyfill là lời nhắc nhở mạnh mẽ về mối đe dọa ngày càng gia tăng do... tấn công chuỗi cung ứng phần mềmCác cuộc tấn công này khai thác các lỗ hổng trong các thành phần của bên thứ ba được sử dụng rộng rãi, khiến các tổ chức thuộc mọi quy mô đều dễ bị tấn công. Bằng cách áp dụng các biện pháp bảo mật chủ động, chẳng hạn như... giám sát thời gian thực, phát hiện mối đe dọa tự độngvà quản lý phụ thuộc mạnh mẽ—như những gì được cung cấp bởi Xygeni—các công ty có thể tự bảo vệ mình khỏi các mối đe dọa tương tự trong tương lai. Luôn cảnh giác và duy trì sự giám sát toàn diện đối với các thư viện của bên thứ ba là chìa khóa để ngăn chặn các vụ xâm phạm quy mô lớn như Polyfill.
Bảo vệ các phụ thuộc mã nguồn mở của bạn khỏi các cuộc tấn công chuỗi cung ứng phần mềm
Đừng để đơn xin việc của bạn trở thành nạn nhân của... tấn công chuỗi cung ứng phần mềm Giống như Polyfill. Của Xygeni. Open Source Security nền tảng Cung cấp khả năng giám sát thời gian thực, lập bản đồ phụ thuộc nâng cao và khắc phục sự cố tự động để bảo vệ quá trình phát triển của bạn. pipelinecác gói tin bị xâm phạm.
Hãy nắm quyền kiểm soát chuỗi cung ứng phần mềm của bạn ngay hôm nay. Lưu bản demo và xem Xygeni có thể bảo vệ tổ chức của bạn khỏi các mối đe dọa trong tương lai như thế nào.
