התקפה על חברות גרמניות באמצעות חבילות NPM

קבוצה חדשה של חבילות NPM זדוניות שנוצרו עבור התקפות ממוקדות על החברות הגרמניות Bertelsmann, Bosch, Stihl ו-DB Schenker נחשפה. המתקפה משתמשת בשיטת ערבוב תלות, אשר מבצעת מניפולציות על הצטלבות של שמות תלות במאגרים ציבוריים ופנימיים. ביישומים זמינים לציבור, התוקפים מוצאים עקבות של גישה לחבילות NPM פנימיות שהורדו ממאגרים ארגוניים, ולאחר מכן מציבים חבילות עם אותם שמות ומספרי גרסאות חדשים יותר במאגר ה-NPM הציבורי. אם במהלך ההרכבה הספריות הפנימיות אינן מקושרות במפורש למאגר שלהן בהגדרות, מנהל החבילות של npm מחשיב את המאגר הציבורי בעדיפות גבוהה יותר ומוריד את החבילה שהוכנה על ידי התוקף.

בניגוד לניסיונות שתועדו בעבר לזייף חבילות פנימיות, המבוצעות בדרך כלל על ידי חוקרי אבטחה על מנת לקבל תגמולים עבור זיהוי נקודות תורפה במוצרים של חברות גדולות, החבילות שזוהו אינן מכילות הודעות על בדיקות וכוללות קוד זדוני עובד מטושטש המוריד ומריץ דלת אחורית לשליטה מרחוק של המערכת המושפעת.

הרשימה הכללית של החבילות המעורבות במתקפה אינה מדווחת; כדוגמה, רק החבילות gxm-reference-web-auth-server, ldtzstxwzpntxqn ו-lznfjbhurpjsqmr מוזכרות, שפורסמו תחת חשבון boschnodemodules במאגר NPM עם גרסה חדשה יותר. מספרים 0.5.70 ו-4.0.49 4 מאשר החבילות הפנימיות המקוריות. עדיין לא ברור כיצד הצליחו התוקפים לגלות את השמות והגרסאות של ספריות פנימיות שאינן מוזכרות במאגרים פתוחים. על פי ההערכות, המידע התקבל כתוצאה מדליפות מידע פנימיות. חוקרים שעוקבים אחר פרסום חבילות חדשות דיווחו למינהל NPM כי חבילות זדוניות זוהו XNUMX שעות לאחר פרסומן.

עדכון: בקוד ווייט נמסר כי המתקפה בוצעה על ידי עובדה כחלק מסימולציה מתואמת של התקפה על תשתית לקוחות. במהלך הניסוי, בוצע סימולציה של פעולות של תוקפים אמיתיים כדי לבחון את היעילות של אמצעי האבטחה המיושמים.

מקור: OpenNet.ru