Jak atak na łańcuch dostaw (Supply Chain Attack) infekuje projekty IT?
Współczesne systemy IT niemal nigdy nie są pisane od zera. Opierają się na setkach zewnętrznych zależności i bibliotek open-source. Cyberprzestępcy celowo atakują mniejszych, popularnych dostawców oprogramowania, aby przez ich repozytoria zainfekować miliony pobierających je deweloperów. Często wykorzystują do tego preinstalowane złośliwe skrypty, które wykonują się automatycznie na etapie uruchamiania komendy ładującej pakiet. Ostatnie ataki na pakiety npm (np. incydent z SDK Wapi AI) udowadniają, że kampanie malware trwają zaledwie po kilkanaście godzin, ale w tym czasie zdążą skompromitować całe korporacje.
Według ekspertki ds. cyberbezpieczeństwa absolutną podstawą obrony przed infekcją z łańcucha dostaw jest pinning, czyli „zamrażanie” konkretnej, zweryfikowanej wersji zależności w konfiguracji projektu, zamiast ciągłego pobierania wariantów oznaczonych tagiem latest. Równie kluczowe jest stosowanie tzw. okresu karencji. Iwona Polak rekomenduje, aby przed wdrożeniem zaktualizowanego pakietu odczekać co najmniej kilkadziesiąt godzin od jego premiery w repozytorium. Jeśli pakiet został celowo zainfekowany, informacja o zagrożeniu niemal zawsze pojawia się w branżowych mediach w ciągu maksymalnie kilkunastu godzin.
Czym jest Typo Squatting i dlaczego ślepo ufamy menedżerom pakietów?
Ludzki umysł naturalnie koryguje drobne błędy i literówki, przez co czytając kod często nie zauważamy brakującej litery w nazwie. Atakujący doskonale znają ten mechanizm, dlatego stosują technikę Typo Squatting. Polega ona na rejestrowaniu w oficjalnych repozytoriach (takich jak npm, PyPI czy RubyGems) setek złośliwych pakietów o nazwach łudząco podobnych do bardzo popularnych bibliotek. Wystarczy, że atakujący użyją znaków podobnych wizualnie (np. z tablicy Unicode) lub pominą jedną literę (np. request zamiast requests).
Zjawisko to potęguje obecnie sztuczna inteligencja, która halucynując potrafi sama zaproponować inżynierowi instalację nieistniejącego pakietu, którego nazwę błyskawicznie rejestruje haker. Jak zauważa Iwona Polak, edytory tekstu podkreślają błędy ortograficzne w języku naturalnym, ale podczas pobierania paczek instalator nie poinformuje nas, że zamiast oficjalnej biblioteki ładujemy na swój komputer złośliwe oprogramowanie. Najlepszym sposobem mitygacji tego ryzyka w organizacjach jest budowa w pełni kontrolowanych, centralnych repozytoriów będących zweryfikowanymi “lustrzanymi odbiciami” publicznych źródeł.
Jak złośliwe rekrutacje omijają zabezpieczenia chmurowe organizacji?
Jednym z najbardziej perfidnych, sprofilowanych ataków socjotechnicznych wymierzonych w inżynierów DevOps i programistów są fałszywe oferty pracy. Cyberprzestępcy analizują platformy takie jak LinkedIn lub GitHub i celują w osoby poszukujące nowych wyzwań. Przestępca, podszywając się pod renomowanego rekrutera, oferuje wybitne zarobki i pełną pracę zdalną. Warunkiem weryfikacji kompetencji jest sklonowanie spreparowanego projektu z GitHuba i uruchomienie go lokalnie na własnej maszynie deweloperskiej.
Specjalistka z zakresu testów penetracyjnych przestrzega, że uruchomienie takiego kodu niemal zawsze kończy się natychmiastowym wdrożeniem zaawansowanego malware’u typu backdoor. Oprogramowanie to wykrada nie tylko dane osobiste, ale przede wszystkim przeszukuje dysk w poszukiwaniu kluczy SSH, zmiennych środowiskowych z hasłami oraz tokenów chmurowych. Infekcja stacji roboczej pracownika (który dysponuje uprawnieniami administracyjnymi w organizacji) staje się najkrótszą drogą do przejęcia pełnej kontroli nad potężnymi środowiskami wdrożeniowymi i firmowymi aplikacjami – całkowicie pomijając twarde zapory sieciowe korporacji.
Zadbaj o bezpieczeństwo swojej organizacji z SysOps/DevOps Polska!
Utrzymanie bezpiecznej infrastruktury zaczyna się od wiedzy, higieny cyfrowej i bycia krok przed atakującymi. Pamiętaj, że masz klucze do serca swojej firmy!
- Obejrzyj pełną prelekcję: Chcesz dowiedzieć się, jak hakerzy poświęcili pół roku na fizyczne zdobycie zaufania pracowników platformy kryptowalutowej, aby zaledwie w 12 minut ukraść 280 milionów dolarów? Pełne nagranie z wystąpienia Iwony Polak znajdziesz na naszym kanale YouTube: Obejrzyj wideo tutaj.
- Wpadnij na Meetupy SO/DO: Spotkaj inżynierów i pentesterów na żywo. Dołącz do największej niekodującej społeczności IT w Polsce podczas naszych stacjonarnych meetupów organizowanych w wielu miastach.
- Webinary AI Now: Dowiedz się, jak AI wspiera obronę infrastruktury (i jak atakujący używają LLM-ów do tworzenia idealnych kampanii spear-phishingowych). Zapisz się: https://www.ainowpolska.pl/.
Chcesz poznać chmurowe i sieciowe zapory od strony technicznej?
Inżynieria społeczna to jedno, ale poprawna konfiguracja twardych zabezpieczeń to równie krytyczny element Twojej układanki. Sprawdź nasze praktyczne warsztaty na stronie: https://www.sysopspolska.pl/szkolenia/.
