- Augsta profila bibliotēkas, piemēram, Axios un Mastra tika apdraudēti, izmantojot nolaupītus uzturētāju kontus, ietekmējot miljoniem lejupielāžu nedēļā.
- Uzbrucēji izmantoja sarežģītus pēcinstalēšanas āķi lai nodrošinātu starpplatformu aizmugurējās durvis un nozagtu sensitīvus akreditācijas datus no izstrādātāju vidēm.
- Draudu izpildītāji, tostarp tie, kas saistīti ar Ziemeļkorejas grupas, arvien vairāk izmanto uzticēšanos atvērtā pirmkoda atkarībām, nevis meklē programmatūras trūkumus.
- Drošības eksperti iesaka dzīves cikla skriptu atspējošana un ieviešot stingras tīkla izejas kontroles, lai mazinātu saindētu pakotņu ietekmi.
Izstrādātāji uz savas ādas pārliecinās, ka mūsdienu izstrādes vide arvien vairāk kļūst par mīnu lauku, kur viena aizmirsta parole var apdraudēt tūkstošiem projektu. Tehnoloģiju pasaulē pēdējā laikā ir vērojams milzīgs piegādes ķēdes incidentu pieaugums, kas pierāda, ka pat visuzticamākos rīkus izstrādātāju jomā var vērst pret viņiem dažu minūšu laikā, nevienam to nepamanot, līdz ir jau par vēlu.
Pašreizējie dati liecina, ka mēs esam liecinieki fundamentālām izmaiņām hakeru darbībā, jo viņi attālinās no tradicionāliem ievainojamību izmantošanas veidiem, lai koncentrētos uz piegādes ķēdes drošību . Iefiltrējoties tādu populāru platformu kā npm ekosistēmās, uzbrucēji var vienlaikus izplatīt ļaunprātīgu kodu miljoniem sistēmu, pārvēršot likumīgus programmatūras atjauninājumus par augsta līmeņa ļaunprogrammatūras un datu zādzības rīku piegādes mehānismu.
Mastra ekosistēma un LinkedIn pikšķerēšanas slazds
2026. gada vidū Mastra ietvars, ko plaši izmanto mākslīgā intelekta lietojumprogrammu veidošanai, kļuva par koordinētas kampaņas upuri, kas sākās ar sarežģītu sociālās inženierijas uzbrukumu . Kāds līdzstrādnieks saņēma maldinošu ziņojumu vietnē LinkedIn, kas galu galā noveda pie viņa npm publicēšanas tokena kompromitēšanas. Uzbrucējs netērēja laiku, publicējot vairāk nekā 140 ļaunprātīgas pakotņu versijas Mastra vārdtelpā, sasniedzot lietotāju bāzi, kas katru nedēļu ģenerē vairāk nekā miljonu lejupielāžu.
Šo incidentu īpaši viltīgu padara tas, ka pats Mastra kods palika neskarts, jo ļaunprogrammatūra bija paslēpta jaunizveidotā atkarībā ar nosaukumu easy-day-js. Šī pakotne bija populāras datumu bibliotēkas klons, kas izstrādāts tā, lai izskatītos pilnīgi nevainīgs jebkuram izstrādātājam, kurš īsi skenē savu atkarību koku. Izmantojot peldošu versiju diapazonu, uzbrucējs nodrošināja, ka jebkura jauna instalācija automātiski ielādēs inficēto versiju, faktiski atverot aizmugurējās durvis izstrādātāja darbstacijā vai CI/CD skrējējā.
Pētnieku grupas ir novērojušas nelielas neatbilstības skarto artefaktu kopējā skaitā, un skaits svārstās no 116 līdz 145 pakotnēm atkarībā no analīzes laika. Tas uzsver šo kampaņu nepastāvīgo raksturu, kur uzbrucēji var ātri publicēt, modificēt un dzēst pierādījumus, radot drošības komandām grūtības noteikt pilnu atmaskojuma apmēru, pirms tiek aptvertas pēdas.
Axios nolaupīšana: savienojums ar vienkāršo kripto-js sistēmu
Situācija kļuva vēl drūmāka, kad Axios, JavaScript izstrādātāju pamata HTTP klients, piedzīvoja līdzīgu konta nolaupīšanas notikumu . Versijas 1.14.1 un 0.30.4 tika izlaistas ar slēptu atkarību ar nosaukumu plain-crypto-js, kas darbojās kā starpplatformu attālās piekļuves Trojas zirgs (RAT). Šī ļaunprogrammatūra bija īpaši izstrādāta, lai inventarizētu sistēmas, nodrošinātu noturību un izgūtu sensitīvus datus no Windows, macOS un Linux vidēm.
Drošības analītiķi no Unit 42 un ESET ir saistījuši Axios kompromitāciju ar apdraudējuma dalībnieku, kas pazīstams kā Sapphire Sleet jeb UNC1069 , grupu, kas, kā ziņots, ir saistīta ar Ziemeļkorejas interesēm. Šī saistība liecina par spēcīgu finansiālu motīvu, jo ļaunprogrammatūra saturēja specializētus moduļus, lai atklātu un mērķētu uz kriptovalūtas maku paplašinājumiem. Tas ir klasisks augsta riska digitālās spiegošanas gadījums, kas slēpjas redzamā vietā rīkos, ko izmantojam vienkāršu tīmekļa lietotņu veidošanai.
Tehniskā izpilde bija biedējoši efektīva, bieži vien pilnu inficēšanas ciklu pabeidzot mazāk nekā piecpadsmit sekundēs . Kad lietderīgā slodze bija palaista, instalētājs veica agresīvu tīrīšanu, izdzēšot ļaunprātīgos instalēšanas failus un aizstājot modificēto manifestu ar tīra izskata mānekļu. Šāds forenzikas izpratnes līmenis nozīmē, ka izstrādātājs varēja aplūkot savu node_modules mapi tikai dažas minūtes pēc inficēšanas un nepamanīt absolūti neko neparastu.
Pēcinstalācijas āķa tehniskā mehānika
Šo uzbrukumu galvenais dzinējspēks ir npm pēcinstalēšanas āķis — funkcija, kas ļauj pakotnēm automātiski palaist skriptus pēc instalēšanas. Lai gan tas bija paredzēts likumīgiem konfigurācijas uzdevumiem , tas ir kļuvis par plaši atvērtām durvīm uzbrucējiem. Gan Mastra, gan Axios gadījumos pēcinstalēšanas skripts palaida apmulsinātu ielādētāju, kas atspējoja TLS sertifikātu verifikāciju, ļaujot ļaunprogrammatūrai sazināties ar komandu un vadības serveriem, netiekot atzīmētam ar standarta tīkla pārbaudes rīkiem.
Kad ļaunprogrammatūras otrais posms bija ielādēts, tas bieži vien tika radīts kā atsevišķs process, kas nozīmēja, ka ļaunprātīgais kods turpināja darboties fonā pat pēc npm instalēšanas procesa pabeigšanas. Windows sistēmās tika novērots, ka ļaunprogrammatūra nolaupa likumīgus bināros failus, piemēram, PowerShell, lai izpildītu savus skriptus, savukārt macOS un Linux sistēmās tā izmantoja sistēmas līmeņa pakalpojumus, lai nodrošinātu, ka tā izdzīvos pēc atkārtotas palaišanas, padarot vienkāršu pakotnes dzēšanu neefektīvu.
Papildus kriptovalūtu zādzībai šie implanti spēja uztvert pārlūkošanas vēsturi un meklēt mākoņpakalpojumu sniedzēja akreditācijas datus vai SSH atslēgas. Tehnoloģiju jaunuzņēmumam tas ir murgu scenārijs, kurā izstrādātāja lokālā vide kļūst par vārteju uzbrucējam, lai pārvietotos uz ražošanas serveriem vai privātām koda krātuvēm. Izrādās, ka jūsu uzņēmuma drošība var būt atkarīga tikai no tā, vai pilnīgi svešam cilvēkam nebūs slikta diena ar paroļu pārvaldību.
Cauruļvada nostiprināšana pret nākotnes draudiem
Standarta drošības rīki, piemēram, npm audits, bieži vien nespēj atklāt šos incidentus agrīnā stadijā, jo tie balstās uz zināmām ievainojamību datubāzēm , kas var atpalikt no aktīvām ļaunprogrammatūras kampaņām. Lai patiesi aizsargātu organizāciju, komandām ir jāpāriet uz proaktīvāku aizsardzību, piemēram, instalāciju palaišanu ar noklusējuma karodziņu –ignore-scripts . Šis vienkāršais solis novērš pēcinstalēšanas āķu izpildi, kas ir galvenais vektors lielākajai daļai npm balstītu piegādes ķēdes uzbrukumu.
Vēl viena svarīga stratēģija ietver pāreju uz nulles uzticamības modeli atkarībām. Izmantojot iesaldētus bloķēšanas failus un privātus reģistrus , uzņēmumi var izveidot buferzonu, kurā jaunās pakotņu versijas tiek analizētas, lai noteiktu uzvedības anomālijas, pirms tās tiek atļautas galvenajā būvēšanas ķēdē. Tīkla izejas ierobežošana no CI/CD izpildītājiem tikai uz apstiprinātiem domēniem var arī pārtraukt komunikācijas ķēdi, kas ļaunprogrammatūrai ir nepieciešama, lai izgūtu savas sekundārās slodzes vai izfiltrētu nozagtos tokenus.
Galu galā gan atvērtā pirmkoda programmatūras uzturētāju, gan patērētāju atbildība ir pastiprināt piekļuves kontroli un ieviest daudzfaktoru autentifikāciju, ko nevar apiet ar automatizācijas žetoniem. Nozarei attīstoties, vienīgais veids, kā orientēties laikmetā, kurā pati piegādes ķēde ir kļuvusi par vienu no efektīvākajiem ieročiem hakeru arsenālā, ir katras trešās puses bibliotēkas uztveršana kā potenciāla riska, nevis uzticama resursa.
