Toimitusketjuhyökkäys JavaScript-kirjastoissa
Hakkereiden on onnistunut vaarantamaan laajasti käytettyjä JavaScript-ohjelmistokirjastoja, ja tätä on kutsuttu historian suurimmaksi toimitusketjuhyökkäykseksi. Injektoitu haittaohjelma on ilmeisesti suunniteltu varastamaan kryptovaluuttaa vaihtamalla lompakkosoitteita ja keskeyttämällä tapahtumia.
Hyökkäyksen taustat
Useiden raporttien mukaan maanantaina hakkerit murtautuivat tunnetun kehittäjän Node Package Manager (NPM) -tilille ja lisäsivät salaa haittaohjelmaa suosittuihin JavaScript-kirjastoihin, joita miljoonat sovellukset käyttävät. Haitallinen koodi vaihtaa tai kaappaa kryptovaluuttalompakkosoitteita, mikä asettaa miljardien latausten arvoiset projektit vaaraan.
”Käynnissä on laajamittainen toimitusketjuhyökkäys: arvostetun kehittäjän NPM-tili on vaarantunut,” varoitti Ledgerin teknologiajohtaja Charles Guillemet maanantaina. ”Vaikuttavia paketteja on jo ladattu yli 1 miljardi kertaa, mikä tarkoittaa, että koko JavaScript-ekosysteemi saattaa olla vaarassa.”
Vaikutukset ja haavoittuvuus
Hyökkäys kohdistui paketteihin, kuten [paketti1], [paketti2] ja [paketti3] — pieniin apuohjelmiin, jotka ovat syvällä lukemattomien projektien riippuvuuspuiden sisällä. Yhteensä nämä kirjastot ladataan yli miljardi kertaa viikossa, mikä tarkoittaa, että jopa kehittäjät, jotka eivät ole koskaan asentaneet niitä suoraan, voivat olla alttiina.
NPM on kuin sovelluskauppa kehittäjille — keskeinen kirjasto, jossa he jakavat ja lataavat pieniä koodipaketteja JavaScript-projektien rakentamiseksi. Hyökkääjät näyttävät istuttaneen kryptovaluutta-leikkurin, eräänlaisen haittaohjelman, joka hiljaa vaihtaa lompakkosoitteita tapahtumien aikana ohjatakseen varoja.
Turvallisuusvaroitukset
Turvallisuustutkijat varoittivat, että ohjelmistolompakoita käyttävät käyttäjät voivat olla erityisen haavoittuvia, kun taas jokaisen tapahtuman vahvistavat laitteistolompakot ovat suojattuja. On epäselvää, yritetäänkö haittaohjelman avulla myös varastaa siemenlauseita suoraan.
Tämä on kehittyvä tarina, ja lisätietoja tullaan lisäämään saatavilla olevan mukaan.
