IronWorm: der Angriff, der Anmeldeinformationen stiehlt und npm in eine Eingangstür für schädliche Pakete verwandelt

Ein neuer Angriff auf die npm-Versorgungskette hat wieder gezeigt, dass Paket-Repositories und automatisierte CI-Flows privilegierte Ziele für Akteure sind, die Zugriff auf Anmeldeinformationen und Geheimnisse suchen. JFrog-Forscher haben eine Kampagne identifiziert, die 36 Pakete mit einem Spitznamen infostealer infiziert Eisen und Stahl, eine binäre geschrieben in Rust, die fortgeschrittene Techniken der Beharrlichkeit und sigil kombiniert: es ist versteckt nach einem Kiel Rootkit auf Basis eBPF und kommuniziert mit seinem Betreiber über das Tor-Netzwerk.

Was IronWorm unterscheidet, ist nicht nur seine Technologie, sondern seine Propagationsstrategie: Er stiehlt Anmeldeinformationen von engagierten Konten und veröffentlicht dann versenkte Versionen von npm Paketen im Namen der Opfer, unter Ausnutzung zuverlässiger Publikation Workflows. Angriffe bis zu 86 Umgebungsvariablen und 20 Arten von Anmeldeinformationen einschließlich OpenAI-Tasten und -Token, AWS, Anthropic, npm, Tresorkonfigurationsdateien, SSH-Tasten und Exodus-Wanderungsdateien, die ihr Interesse an Entwicklungsumgebungen und CI erklärt, wo solche Geheimnisse in der Regel zugänglich sind.

Die Ermittler beobachten auch Artefakte, um forensische Untersuchungen zu vermeiden, wie sie mit geschmiedeten Urheberschaft und alten Timstamps (bis vor 13 Jahren) begangen wurden, um es legitim zu machen. Eine Mechanisierung wurde auch mit GitHub Actions erkannt, um gestohlene Geheimnisse in einem inokulierten Gebäudegerät zu konsolidieren, das eine Exfiltration ohne die Notwendigkeit eines externen C2-Kanals ermöglicht - obwohl JFrog anzeigt, dass diese Methode nicht in der analysierten Kampagne verwendet wurde, ändert ihre bloße Existenz die Risikooberfläche für automatisierte Pipelines. Hier finden Sie die technische Analyse von JFrog: Zurück zur Übersicht.

Die Operation zeigt konzeptionelle Ähnlichkeiten mit früheren Kampagnen wie Shai Hallud: Verwendung automatisierter Verlage zur Selbstreplikation und Fokus auf Veröffentlichungsberechtigungen. Während JFrog keine direkte Verbindung mit TeamPCP oder Shai Hallud herstellt, lässt die Überschneidung von Commit-Namen und technischer Evolution die Möglichkeit offen, dass wir einer neuen Etappe einer anspruchsvolleren, konsolidierten Operation mit eigener Infrastruktur gegenüberstehen.

Für Entwickler und Sicherheitsausrüstung sind die Auswirkungen klar und dringend: ein einzelnes gebundenes Token kann eine CI-Umgebung oder ein npm-Konto in ein Gateway für eine Epidemie von schädlichen Paketen konvertieren. Neben dem klassischen Risiko des Diebstahls von Geheimnissen im Host greift dieser Modus operandi die Vertrauenskette des Ökosystems an: Pakete mit legitimen Abhängigkeiten bewegen sich, um bösartigen Code an Tausende von nachgelagerten Projekten zu verteilen.

Unmittelbare Maßnahmen, die durchgeführt werden sollten, umfassen Dreh- und Revoking-Token und Betroffene Schlüssel, ermöglicht 2FA in allen Konten mit Veröffentlichungsgenehmigungen und aktualisiert die parched Versionen der Pakete, die von den Analysen identifiziert wurden. Es ist auch wichtig, CI-Workflows zu prüfen, um vorinstallierte Skripte oder unerwartete Artefakte zu identifizieren, den Zugriff auf Artefakte zu beschränken und die Exposition von Geheimnissen in Umgebungsvariablen zu reduzieren. Relevante Plattform-Betriebsführer können dabei helfen, spezifische Gegenmaßnahmen zu implementieren, wie z.B. npm-Dokumentation und Artefakte-Praktiken in GitHub-Aktionen: S.A. und wohnzimmer.de (GitHub Aktionen Artefakte).

Auf technischer Ebene der Erkennung ist es angezeigt, das Vorhandensein von Geräten oder das indikative Verhalten von eBPF-Rootkits (z.B. ungewöhnliche Lasten in / sys / fs / bpf oder verdächtige Kernelmodule / Objekte) zu überprüfen, nach in npm-Paketen eingebetteten ELF-Birnen zu suchen, Publikationsprotokolle zu überprüfen und diese mit IP-Adressen zu korrelieren und ungewöhnliche Tor-Ausgänge oder Verbindungsmuster aus Entwicklungsumgebungen und CI. EDR-Lösungen und Verhaltenserkennungsregeln, die Änderungen in Gebäudeprozessen oder vorinstallierten Skripten erkennen, erhöhen die Wahrscheinlichkeit, solche Operationen zu erkennen, bevor sie sich verbreiten.

Organisationen und Plattformen halten eine wichtige Rolle: npm und CI-Lieferanten sollten die Kontrollen an Workflows, die Pakete veröffentlichen können (Zulassungsrichtlinien, Identitätsprüfung und Veröffentlichungssignaturen), verbessern Sie die Erkennung von Paketen, die kompilierte binäre enthalten und erleichtern die Zwangsdrehung von Token nach Zwischenfällen. Für diejenigen, die Repositorien und Abhängigkeiten verwalten, übernehmen Praktiken wie Unterschrift von Artefakten, kontinuierliche Überwachung der Lieferkette und Annahme von Integritätsrahmen wie SLSA reduziert systemisches Risiko.

Dieser Vorfall zeigt, dass die Angreifer in die Raffinesse (Rust, Rootkits eBPF, Tor) und in die Stealthtaktik (false Metadaten, Nutzung legitimer Pipelines zum Exfilter) investieren. Effektive Verteidigung erfordert eine Kombination der Hygiene von Anmeldeinformationen, das Prinzip von weniger Privileg in CI, Sicherheitsüberprüfungen auf jeder Schicht und Sichtbarkeit von Bauartefakten. Für diejenigen, die sich in komplementärer Analyse und anderen zeitgenössischen Angriffen auf npm vertiefen wollen, siehe Berichte von Dritten wie Endor Labs: Endorlabs.com und Antworthinweise aus aufstrebenden Teams.

Die langfristige Lektion ist, dass die Softwaresicherheit nicht mehr auf den Quellcode beschränkt werden kann: Es erfordert Kontrollen auf Anmelde-, Pipelines- und Verlagsplattformen. Diejenigen, die Pakete entwickeln und pflegen, müssen annehmen, dass früher oder später ein exponiertes Token ein Massenangriffsvektor werden kann und dementsprechend planen: Erkennung, Reaktion und Widerstand sind jetzt Teil des Software-Lebenszyklus.