Die versteckte Bedrohung von Npm-Pakete, die Imitan Polyfill für Rollup

Sicherheitsforscher haben eine neue Welle von schädlichen Paketen im npm-Ökosystem identifiziert, die legitime Polyfilling-Tools für Rollup imitieren, mit der ausdrücklichen Absicht, Remote Access zu erhalten und Anmeldeinformationen und sensible Daten von Entwicklungsarbeitsplätzen und Baumaschinen zu stehlen. Laut der öffentlichen Analyse wurden bösartige Artefakte mit Namen und Metadaten fast identisch mit bekannten Projekten präsentiert, enthielt einen ersten Schritt, der versteckte Befehle codiert in Base64 und heruntergeladen einen zweiten Schritt als SVG-Dienstprogramme gekleidet, die wiederum wiederhergestellt und ausgeführt JavaScript-Code aus einem externen JSON-Repository; dass Schritt Struktur und Umweltkontrollen, um Sandkästen erinnern frühere Kampagnen zu nordkoreanischen Akteuren.

Die zentrale technische Lektion ist, dass Angreifer sich nicht mehr auf verseilte Versionen von Malware beschränken: Sie bauen Lieferketten mit scheinbar harmlosen Komponenten im Register, die Installation Haken verstecken, Evasionskontrollen und Nutzlasten, die so viel erlauben Exfiltration von Geheimnissen (Token npm, SSH Schlüssel, .env Anmeldeinformationen, Browser-Daten und Geldbörsen) wie Fernbedienung (interaktive Ausführung, Bildschirmerfassung, Mausautomatisierung und Tastatur). Diese Fähigkeiten sind besonders gefährlich, wenn das Paket in lokale Rollup-Konfigurationen, CI-Umgebungen oder Baubilder integriert ist, die bereits Zugriff auf kritische Entwicklungsgeheimnisse und Artefakte haben.

Aus betrieblicher Sicht verstärkt dies ein wiederkehrendes Risiko: Der Code, den wir in Entwicklungszeit installieren, hat die gleiche Möglichkeit, einen Angriffsvektor wie jede Produktionssoftware zu werden. Es geht darum, dass Angriffe plausible Namen und Metadaten, mehrstufige Nutzlast und versteckte Ausführung während der Installation kombinieren, um Oberflächeninspektionen und automatisierte Plattenkontrollen zu stummen.

Wenn Ihr Team kürzlich Pakete mit Namen wie "Rollup", "Polyfill", "runtime" oder neue Pakete verwendet hat, die von unified Accounts veröffentlicht wurden, die Situation als mögliche Aufschaltung behandeln. Die ersten Maßnahmen sollten die sofortige Entfernung von identifizierten Einheiten umfassen, die Suche nach jeder Ausführung von Post-Installations- oder entladenen Geräten auf Entwicklungs- und Baumaschinen, die Rotation von freiliegenden Anmeldeinformationen (Token npm, SSH-Tasten, Cloud-Anmeldeinformationen) und den Widerruf des Zugangs, bis die Integrität der Umgebung verwendet wird.

In vorbeugenden und aushärtenden Begriffen ist es notwendig, mehrere zusätzliche Verteidigungen zu übernehmen: die Einrichtung von Anlagen mit --ignore-scripts, wenn möglich, Installationshaken zu blockieren, isolierte und ephemerale Gebäudeumgebungen (Container oder Läufer mit minimalem Privileg) zu verwenden, CI / CD-Einheit Scannen mit Werkzeugen wie Dependabot oder kommerzielle SCA zu aktivieren und zu validieren, dass die Artefakte von zuverlässigen Autoren und Scopes kommen. Es wird auch empfohlen, die Abhängigkeiten (Lockfiles) zu prüfen und festzulegen, Änderungen der Übergangsabhängigkeiten zu überprüfen, bevor sie Zusammenschlüsse akzeptieren und die Verwendung langfristiger Token in CI begrenzen.

Für die Forschung und Erkennung suchen Sie Indikatoren wie Anrufe in JSONKeeper oder andere Snippet-Speicherdienste, Ausgangsverbindungen zu PIs oder verdächtige Domains aus Entwicklungsumgebungen, Prozesse, die @ nut-tree-fork / nut-js in Windows-Hosts und ungewöhnliche Aktivität durch Lesen von Editor-Konfigurationsdateien oder IA-Tools. Wenn Sie Verlobungen erkennen, Protokolle und Muster vor dem Neustart erfassen und Bilder von betroffenen Systemen aus sauberen Quellen neu aufbauen, wenn es Anzeichen für Beharrlichkeit gibt.

Öffentliche Tools und Ressourcen helfen dabei, einen Teil der Arbeit zu automatisieren: Teams sollten Gerätescanner und Sperrlisten in die Pipeline integrieren und Auditprojekte wie OWASP für Softwareabhängigkeit und -komposition nutzen. Weitere Informationen zu Risiken und bewährten Praktiken finden Sie in Branchenpublikationen und -führern, z.B. im JFrog-Forschungsblog und in Ressourcen zur Unit Management- und Repository-Sicherheit. Sie können die praktische Beratung in https: / / jfrog.com / Blog / und Analysetools für die Zusammensetzung der Studie https: / / owasp.org / www-project-dependency-check /.

Schließlich verlieren Sie nicht den Blick auf die Tatsache, dass diese Arten von Kampagnen Teil eines breiteren Trend der Supply Chain Vergiftung sind: effektive Prävention erfordert organisatorische Politiken (Vorbehalt von weniger Privileg, regelmäßige Rotation von Geheimnissen, 2FA und Tokenization) sowie technische Kontrollen. Aktivieren Sie das Scannen von CI-Abhängigkeiten, behandeln Sie neue Pakete aus unifizierten Bereichen als kritisch und halten Sie Antwortverfahren, die die reale Möglichkeit der Exfiltration und Fernbedienung von Entwicklungs- und Bauumgebungen betrachten.