Pohjoiskorealaisten hakkerien hyökkäys ohjelmistokirjastoihin
Yhdysvaltalainen kyberturvallisuusyritys on raportoinut, että pohjoiskorealaiset hakkerit ovat muuttaneet yhden maailman käytetyimmistä ohjelmistokirjastoista haittaohjelmien jakelujärjestelmäksi. Socket-nimisen toimitusketjun turvallisuusyrityksen tutkijat kertoivat viime viikolla löytäneensä yli 300 haitallista koodipakettia, jotka oli ladattu npm-rekisteriin, keskeiseen varastoon, jota miljoonat kehittäjät käyttävät JavaScript-ohjelmistojen jakamiseen ja asentamiseen.
Nämä paketit—pienet uudelleenkäytettävät koodinpätkät, joita käytetään kaikessa verkkosivustoista kryptosovelluksiin—oli suunniteltu näyttämään harmittomilta. Kuitenkin ladattaessa ne asensivat haittaohjelmia, jotka pystyivät varastamaan salasanoja, selaindataa ja kryptovaluuttalompakkojen avaimia.
Kampanjan taustat
Socketin mukaan kampanja, jota se kutsuu ”Tarttuva haastattelu”, oli osa monimutkaista toimintaa, jota johtavat pohjoiskorealaiset valtion tukemat hakkerit, jotka esiintyvät teknologiarekruttajina kohdistuakseen lohkoketju-, Web3- ja niihin liittyviin teollisuudenaloihin työskenteleviin kehittäjiin.
Miksi tämä on tärkeää: npm on käytännössä modernin verkon selkäranka. Sen vaarantaminen mahdollistaa hyökkääjien pääsyn haitalliseen koodiin lukemattomissa alapuolisissa sovelluksissa.
Turvallisuusasiantuntijat ovat varoittaneet vuosia siitä, että tällaiset ”ohjelmistotoimitusketjun” hyökkäykset ovat kyberavaruuden vaarallisimpia, koska ne leviävät näkymättömästi laillisista päivityksistä ja riippuvuuksista. Socketin tutkijat jäljittivät kampanjaa samankaltaisten pakettinimien klusterin kautta—väärin kirjoitettuja versioita suosituista kirjastoista, kuten express, dotenv ja hardhat—sekä koodimallien kautta, jotka liittyvät aikaisemmin tunnistettuihin pohjoiskorealaisiin haittaohjelmaperheisiin, kuten BeaverTail ja InvisibleFerret.
Hyökkäysten toteutus
Hyökkääjät käyttivät salattuja ”loader”-skriptejä, jotka purkivat ja suorittivat piilotettuja kuormia suoraan muistissa, jättäen vain vähän jälkiä levylle. Yritys kertoi, että noin 50 000 latausta haitallisista paketeista tapahtui ennen kuin monet niistä poistettiin, vaikka osa on edelleen verkossa.
Hakkerit käyttivät myös väärennettyjä LinkedIn-rekruttajatilejä, mikä on johdonmukaista aikaisempien DPRK:n kybervakoilukampanjoiden kanssa, joita Yhdysvaltain kyberturvallisuus- ja infrastruktuuriturvallisuusvirasto (CISA) on dokumentoinut ja joista on aiemmin raportoitu Decryptissa.
Kohteet ja seuraukset
Tutkijat uskovat, että lopulliset kohteet olivat koneita, joilla oli pääsyvaltuudet ja digitaaliset lompakot. Vaikka Socketin havainnot vastaavat muiden turvallisuusryhmien ja hallitusten virastojen raportteja, jotka yhdistävät Pohjois-Korean kryptovaluuttavarkauksiin, jotka yhteensä ovat miljardeja dollareita, jokaisen yksityiskohdan—kuten tarkka määrä vaarantuneita paketteja—itsenäinen vahvistaminen on edelleen kesken.
Silti tekniset todisteet ja kuvattuja malleja ovat johdonmukaisia aikaisempien Pyongyangille osoitettujen tapausten kanssa.
Reaktiot ja suositukset
Npm:n omistaja, GitHub, on ilmoittanut poistavansa haitalliset paketit niiden löydyttyä ja parantavansa tilin vahvistusvaatimuksia. Kuitenkin tutkijat sanovat, että malli on kuin whack-a-mole: kun yksi haitallisten pakettien joukko poistetaan, satoja muita ottaa pian niiden paikan.
Kehittäjille ja kryptostartupeille tämä tapaus korostaa, kuinka haavoittuvaksi ohjelmistotoimitusketju on tullut. Turvallisuustutkijat kehottavat tiimejä käsittelemään jokaista ”npm install” -komentoa mahdollisena koodin suorittamisena, skannaamaan riippuvuudet ennen niiden yhdistämistä projekteihin ja käyttämään automatisoituja tarkistustyökaluja muunneltujen pakettien tunnistamiseksi.
Avoimen lähdekoodin ekosysteemin vahvuus—sen avoimuus—on edelleen sen suurin heikkous, kun vastustajat päättävät aseistaa sen.
