NPM 패키지를 통한 독일 기업 공격

독일 회사 Bertelsmann, Bosch, Stihl 및 DB Schenker에 대한 표적 공격을 위해 생성된 새로운 악성 NPM 패키지가 공개되었습니다. 공격은 공개 저장소와 내부 저장소에서 종속성 이름의 교차점을 조작하는 종속성 혼합 방법을 사용합니다. 공개적으로 사용 가능한 애플리케이션에서 공격자는 기업 리포지토리에서 다운로드한 내부 NPM 패키지에 대한 액세스 흔적을 찾은 다음 동일한 이름과 최신 버전 번호를 가진 패키지를 공용 NPM 리포지토리에 배치합니다. 조립 중에 내부 라이브러리가 설정에서 저장소에 명시적으로 연결되지 않은 경우 npm 패키지 관리자는 공용 저장소를 더 높은 우선 순위로 간주하고 공격자가 준비한 패키지를 다운로드합니다.

이전에 문서화된 내부 패키지 스푸핑 시도는 일반적으로 대기업 제품의 취약점을 식별한 대가를 받기 위해 보안 연구원이 수행하는 것과 달리, 탐지된 패키지에는 테스트에 대한 알림이 포함되어 있지 않으며, 영향을 받은 시스템을 원격으로 제어하기 위한 백도어.

공격과 관련된 패키지의 일반 목록은 보고되지 않았습니다. 예를 들어 gxm-reference-web-auth-server, ldtzstxwzpntxqn 및 lznfjbhurpjsqmr 패키지만 언급되어 있으며 NPM 저장소의 boschnodemodules 계정에 최신 버전으로 게시되었습니다. 원래 내부 패키지보다 번호 0.5.70 및 4.0.49입니다. 공격자가 공개 저장소에 언급되지 않은 내부 라이브러리의 이름과 버전을 어떻게 알아냈는지는 아직 명확하지 않습니다. 해당 정보는 내부 정보 유출로 인해 입수된 것으로 추정된다. 새로운 패키지의 게시를 모니터링하는 연구원들은 악성 패키지가 게시된 지 4시간 후에 식별되었다고 NPM 관리부에 보고했습니다.

업데이트: Code White는 고객 인프라에 대한 공격에 대한 통합 시뮬레이션의 일환으로 직원이 공격을 수행했다고 밝혔습니다. 실험에서는 구현된 보안 조치의 효율성을 테스트하기 위해 실제 공격자의 행동을 시뮬레이션했습니다.

출처 : opennet.ru