Sicherheitsalarm: eine trügerische npm-Abhängung kompromittiert Axios und hinterließ einen multi-platformen RAT

Die JavaScript Community wachte mit Nachrichten auf, die ein Risiko, das viele Entwickler befürchten: Software-Versorgungsketten, auf sich zurückbringt. Der beliebte HTTP-Axios-Client, mit zehn Millionen von wöchentlichen Downloads, war Gegenstand einer bösartigen npm-Veröffentlichung, die eine Falleneinheit namens Klar-Crypto-js @ 4.2.1, entworfen ausschließlich, um einen posterior installer (postinstall), der einen multi-platform Remote Access Trojan (RAT) absinkt.

Nach der technischen Analyse hat es transzendiert, der Angriff änderte nicht den Axio-Code selbst, sondern nutzte die engagierten Anmeldeinformationen vom Hauptbetreuer des Projekts, um kontaminierte Versionen zu veröffentlichen (in den meisten Filialen veröffentlicht als 1.14.1 und 0.30.4). Beim Injizieren einer scheinbar harmlosen Einheit war es möglich, zum Zeitpunkt der Installation schädlichen Code auszuführen, ohne die Axios Linien zu ändern, die Entwickler in der Regel überprüfen.

Der von den Angreifern verwendete Mechanismus war direkt und ausgereift: Die schädliche Abhängigkeit beinhaltete ein post-install osfuscado-Skript (ein "Dropper" von Node.js), das je nach Betriebssystem heruntergeladen und eine zweite Phase speziell für macOS, Windows oder Linux gestartet wurde. MacOS beschreibt Aktionen, die AppleScript zum Herunterladen und Ausführen einer Binärdatei verwenden; Windows würde PowerShell und VBScript nutzen, um eine RAT zu starten; und Linuxs Kette endete mit einem Python-Skript von / tmp. Nach der Ausführung versuchte Malware, seine Tracks zu löschen und das Paket manifesto durch eine "saubere" Version zu ersetzen, um es für die forensische Erkennung schwierig zu machen.

Dieser Angriff zeigt auch eine sorgfältige Verwendung der temporären Logistik: Die lure Buchhandlung wurde mit einer "sauberen" Version Stunden veröffentlicht, bevor die Payload-Version auf die Platte hochgeladen wurde, und die beiden Zweige von Axios wurden innerhalb von Minuten kontaminiert, was darauf hindeutet, dass die Angreifer vorbereitet und getestet Artefakte im Voraus. Der Schauspieler modifizierte auch npm-Account-Metadaten und wird nach dem technischen Bericht ein langfristiger klassischer Zugriffstoken verwenden, um direkt im Register zu veröffentlichen.

Für Projekte und Teams, die von Axios abhängen, sind die sofortigen Empfehlungen klar. Wenn eine der betroffenen Versionen erkannt wird, ist es zweckmäßig, die Installation einer bekannten und sicheren vorherigen Version zu berücksichtigen und die Möglichkeit der Verpflichtung zu übernehmen, wenn die Maschine, die die Einheit installiert hat, nicht überprüft wurde. Rotierende Geheimnisse und Anmeldeinformationen sind sofort die Vorsichtsmaßnahme, wenn es sich um kontaminierte Versionen handelt. Darüber hinaus überprüfen Sie typische RAT Artefakte (Zeitrouten und Dateien, die der Dropper nach Plattform verlässt) und prüfen die CI / CD-Ausführungen, die diese Versionen installiert haben können, sind wesentliche Schritte.

Die Art des Vorfalls hebt wiederum zwei wichtige Lektionen für die Softwaresicherheit hervor: einerseits die Token und Anmeldeinformationen, die Pakete veröffentlichen können, müssen von kurzer Dauer sein oder durch sicherere Mechanismen verwaltet werden, andererseits können die "verzerrten" Einheiten oder in Modellknotenbäumen enthalten gefährliche Änderungen verbergen, die der Code-Review-Prozess nicht erkennt. Spezielle Supply Chain Sicherheitsorganisationen haben gezeigt, wie Pakete, die offenbar nicht von der Hauptbuchhandlung importiert werden, ausreichen können, um Umgebungen zu kompromittieren, sobald npm installiert ist.

Neben Axios, Drittanbieter-Analyse erkannte Pakete, die die gleiche schädliche Abhängigkeit von verkauften Routen und andere, die direkt eine manipulierte Version von Axios in ihrem eigenen Modus-Knoten, die das Feld der Exposition multipliziert. Dies zeigt, dass Angreifer ihre Nutzlast verbreiten können, indem sie neue Pakete veröffentlichen und Bäume aus bestehenden Abhängigkeiten verfälschen.

Für diejenigen, die das Gesamtphänomen und die Empfehlungen vertiefen wollen, um Angriffe auf die Lieferkette zu mildern, ist es nützlich, Analysen und Anleitungen von Organisationen zu konsultieren, die dieses Problem oft ansprechen. Das offizielle Axios-Repository und die npm-Paketseite sind Referenzen, um veröffentlichte Versionen und Metadaten zu überprüfen: https: / / github.com / axios / axios und https: / / www.npmjs.com / Paket / axios. Für den technischen Kontext und die guten Praktiken in der Supply-Chain-Sicherheit bieten Ressourcen wie der npm-Blog und Publikationen spezialisierter Unternehmen nützliche Anleitungen: https: / / blog.npmjs.org und https: ///snyk.io / blog /. Es wird auch empfohlen, die Dokumentation und die Mitteilungen der Behörden über das Vorfallmanagement und die Rotation der Anmeldeinformationen, wie die Materialien der Sicherheits- und Cybersicherheitsagentur (CISA) zu überprüfen: http://www.cisa.gov.

Aus praktischer Sicht sollten Organisationen reaktive und vorbeugende Maßnahmen kombinieren. Reaktiv, Audit-Systeme, um jede der mit Dropper verbundenen Engagement-Indikatoren zu erkennen - zum Beispiel temporäre Dateien, Rest binäre Dateien oder Änderungen in Paket manifestiert - und nehmen die schlimmste Hypothese an, bis alle potenziell gefährdeten Anmeldeinformationen erneuert wurden. Vorbeugend, Begrenzung von Token mit minimalen Genehmigungen, ermöglicht es mehr starre Veröffentlichungskontrollen, Überprüfung der CI / CD-Richtlinien zu vermeiden, hochprivileg Anmeldeinformationen Ausführung und Verwendung von Lösungen, die die Integrität der Einheiten überwachen helfen, die Angriffsfläche zu reduzieren.

Es ist wichtig zu betonen, dass solche Vorfälle keinen Betrug in den von Millionen geprüften Quellcode beinhalten, sondern dass sie zeigen, dass Veröffentlichungspunkte und Zugriffsmanagement kritische Vektoren sind. Die Sicherheit des npm-Ökosystems hängt nicht nur von der Überprüfung der Buchhandlungen ab, sondern auch vom Schutz der Konten und Ströme, die die Veröffentlichung und Verbreitung von Software ermöglichen.

Die Nachrichten zwingen Sie, Routinen zu überdenken: Abhängigkeiten zu überprüfen, Token zu härten, automatische Pipeline-Anlagen zu überwachen und Teams zu lehren, schnell auf die Möglichkeit einer Supply Chain-Bestätigung zu reagieren. Um über den jeweiligen Fall und die daraus resultierenden technischen Analysen informiert zu werden, ist es angebracht, die Sicherheitspublikationen und Aktualisierungen in den offiziellen Repositorien zu verfolgen, in denen Warnungen und Patches eingebaut werden.