Ланцюг постачання ПЗ під прицілом: підготовка до нової хвилі самопоширюваних атак

Розбір життєвого циклу автономної загрози в ланцюгу постачання ПЗ

Архітектура сучасної атаки на ланцюг постачання програмного забезпечення починається не з прямого удару по корпоративному периметру, а з ретельно підготовленого компрометування всередині екосистеми відкритого програмного коду.
Розуміння цього життєвого циклу є критично важливим для команд розробки та кібербезпеки, адже такі загрози більше не залежать від ручного керування й дедалі частіше працюють як автономні механізми поширення.
Аналіз того, як подібні черв’яки проникають у середовище, поширюються та використовують вразливості, допомагає організаціям точніше визначати критичні точки, де простого виявлення вже недостатньо і необхідне активне усунення загроз.

Початкове проникнення: створення «нульового пацієнта»

Сучасниа атака на ланцюг постачання починається зі стратегічного компрометування довіреного пакета з відкритим програмним кодом, який стає так званим «нульовим пацієнтом» зараження.
Зловмисники атакують перевантажених супровідників проєктів, використовують покинуті репозиторії або компрометовані облікові дані розробників, щоб непомітно впровадити початкове шкідливе навантаження в популярний репозиторій.
Після завантаження та інтеграції зараженого пакета в процеси безперервної інтеграції та доставки (CI/CD) шкідливий код активується, фактично обходячи внутрішні механізми захисту завдяки тому, що маскується під легітимні та довірені оновлення програмного забезпечення.

Високошвидкісна експлуатація: UNC6426 та вікно у 72 години

Після закріплення в інфраструктурі швидкість розвитку атаки залишає командам безпеки критично мало часу на реагування. Показовим прикладом стала діяльність групи UNC6426, яка використала єдине компрометування npm-пакета для отримання повного адміністративного доступу до AWS менш ніж за 72 години.
Після початкового проникнення через заражений пакет зловмисники швидко збирали змінні середовища, підвищували привілеї та закріплювали постійний доступ до хмарної інфраструктури ще до того, як традиційні механізми сповіщення встигали пройти повноцінний аналіз.