Az OpenSSF (Open Source Security Foundation) alapítvány, amelyet a Linux Foundation hozott létre, és amelynek célja az open source szoftverek biztonságának növelése, bemutatta a Package Analysis nevű nyílt projektet, amely a csomagokban lévő rosszindulatú kódok elemzésére szolgáló rendszert fejleszti. A projekt kódja Go nyelven készült és Apache 2.0 licenc alatt érhető el. Az NPM és PyPI tárolók előzetes szkennelése a javasolt eszközökkel több mint 200 eddig észleletlen rosszindulatú csomagot tárt fel.
A felfedezett problémás csomagok fő része a projekteken belüli nyilvános függőségek nevének átfedésével manipulál (dependency confusion támadás) vagy típusnevek átcímkézésekkel (olyan nevek adása, amelyek hasonlítanak népszerű könyvtárak neveire) él, és olyan szkripteket hív meg telepítés során, amelyek külső hosztokhoz kapcsolódnak. A Package Analysis fejlesztői szerint a felfedezett problémás csomagok többsége valószínűleg olyan biztonsági kutatók által készült, akik részt vesznek a sérülékenységeket felfedező jutalomprogramokban, mivel az elküldött adatok korlátozódnak a felhasználónév és a rendszer nevére, és a végrehajtott cselekvések nyilvánvalóak, anélkül, hogy megpróbálnák elrejteni a viselkedésüket.
A rosszindulatú aktivitással rendelkező csomagok közül megemlítendők:
- A PyPI-csomag discordcmd, amelyben atipikus kérések küldése figyelhető meg a raw.githubusercontent.com, Discord API és ipinfo.io felé. Ez a csomag hátsó ajtó kódot töltött le a GitHubról, amelyet a Discord Windows-ügyfél könyvtárába telepített, majd elindította a Discord-tokenek keresését a fájlrendszerben, és azokat egy támadók által irányított külső Discord-szerverre küldte.
- Az NPM-csomag colorsss, amely szintén megpróbálta a külső szerver tokeneket a Discord-fiókról továbbítani.
- Az NPM-csomag @roku-web-core/ajax – telepítés során rendszeradatokat küldött, és elindította a visszafelé csatlakozó shellt, amely külső kapcsolatok fogadására és parancsok futtatására képes.
- A PyPI-csomag secrevthree – egy adott modul importálásakor visszafelé kapcsolódó shellet indított.
- Az NPM-csomag random-vouchercode-generator – a könyvtár importálása után külső szerverre küldött kérést, amely parancsot és az azt futtatásának idejét adta vissza.
A Package Analysis function involves analyzing the source texts of code packages for establishing network connections, accessing files, and executing commands. Additionally, it tracks changes in the state of packages to identify the inclusion of malicious insertions in originally benign software versions. To monitor the emergence of new packages in repositories and to make changes to previously posted packages, the Package Feeds toolkit is used, which standardizes interactions with NPM, PyPI, Go, RubyGems, Packagist, NuGet, and Crate repositories.
The Package Analysis includes three basic components that can be used both together and separately:
- A job scheduler for launching package analysis based on data from Package Feeds.
- An analyzer that directly checks the package and evaluates its behavior using static analysis methods and dynamic tracing. The check is conducted in an isolated environment.
- A loader that places the verification results into the BigQuery storage.
Forrás: opennet.ru
