A GlassWorm szoftverellátási láncokat támad.

A GlassWorm kártevő terjesztési kampány több mint 400 forráskód-tárházba és szoftversegédprogramba szivárgott be olyan népszerű programozási platformokon, mint a GitHub, az npm, a VSCode/OpenVSX stb.

A Bkav Group becslései szerint több tízezer programozó számítógépét fertőzte meg a GlassWorm.

A Bkav Group biztonsági szakértői becslése szerint több tízezer programozó számítógépét fertőzte meg a GlassWorm vírus. A támadás láncreakciót indított el: a hackerek ezeket az eszközöket ugródeszkákká alakították, hogy behatoljanak a vállalati belső hálózatokba, manipulálják a forráskódot, majd automatikusan replikálják és exponenciálisan terjesszék a vírust a teljes globális szoftverellátási láncban, beleértve Vietnamot is.

Ez a támadási kampány nem a szoftveres sebezhetőségek közvetlen kihasználására összpontosított. Ehelyett a hackerek ellopott fiókokat és hozzáférési tokeneket használtak fel arra, hogy rosszindulatú kódot juttassanak be a programozók által kódtárakban és szoftverplatformokon megosztott legitim forráskódba.

A rosszindulatú módosításokat legitim fiókok álcája alatt, vagy a forráskód frissítési (commit) előzményadataival álcázva hajtják végre, beleértve a szerzőt, a tartalmat és a közreműködés idejét, hasonlóan a legitim frissítésekhez, így ezek normálisnak tűnnek, és vizuálisan vagy előzetes ellenőrzésekkel nehezen észlelhetők.

„A hackerek közvetlenül beágyaznak rosszindulatú parancsokat a kód „láthatatlan” Unicode karaktereibe, látszólag üres szövegsorokat rejtett támadási eszközökké alakítva. Szabad szemmel vagy előzetes ellenőrzések során a kód teljesen normálisnak tűnik. Ez megnehezíti mind a programozók, mind a hagyományos tesztelőeszközök számára az esetleges rendellenességek észlelését” – mondta Nguyen Dinh Thuy, a Bkav rosszindulatú szoftverek szakértője.

Amellett, hogy rosszindulatú programokat juttat a forráskód-tárházakba, a GlassWorm egyes támadási módszereiben „láthatatlan” Unicode karakterbefecskendezési technikákat is alkalmaz az automatizált ellenőrző rendszerek megkerülésére. A könnyen észlelhető és leállítható hagyományos szerverek helyett ez a kampány a Solana blokklánc hálózatát használja ki a vezérlőparancsok tárolására és továbbítására. Ez decentralizálttá és rendkívül nehezen megállíthatóvá teszi a hackerek rendszerét. Ezzel egyidejűleg a rosszindulatú program legalább hat C2 szerver IP-címe között váltakozik a kommunikáció fenntartása és tevékenységének elrejtése érdekében.

Aktiváláskor a rosszindulatú program érzékeny adatokat, például kriptovaluta-tárcákat, SSH biztonsági kulcsokat, hozzáférés-hitelesítési kódokat és programozói rendszerinformációkat lop el, ezáltal tovább bővítve behatolását a szervezet rendszereibe. Ez a támadás különösen a programozók mindennapi munkakörnyezetére terjedt ki fejlesztőeszközökön, bővítményeken vagy a rosszindulatú programokkal beágyazott függő kódszegmenseken keresztül.

Vietnámban a GitHub és az npm platformokat széles körben használják a termékfejlesztésben, a webes és mobilalkalmazásoktól kezdve a vállalati rendszerekig. Ha egy népszerű könyvtárba rosszindulatú programot fecskendeznek, a kockázat a programozók által használt függőségeken keresztül számos hazai szoftverprojektre és vállalati rendszerre átterjedhet. A Bkav a következőket tanácsolja a programozóknak és a technológiai szervezeteknek: PIN-kódokat kell rögzíteniük, és le kell tiltaniuk a könyvtárak és bővítmények automatikus frissítéseit, hogy megakadályozzák a keresztfertőzést az új frissítéseken keresztül. Integrálni kell az automatizált kódkereső eszközöket közvetlenül az IDE vagy CI/CD adatfolyamba a folyamatos vizsgálat és a zavaros kód vagy rejtett karakterek korai észlelése érdekében. A forráskód-tárházak esetében kötelező a többtényezős hitelesítés (MFA) és a minimális engedélyezési elvek alkalmazása; a kényszerített átküldés funkció le van tiltva a kritikus ágakon. Gondoskodni kell arról, hogy a végpontok 100%-a professzionális víruskereső szoftverrel legyen felszerelve, és ezt kombinálni kell fejlett EDR/XDR megoldásokkal, hogy kettős védelmi réteget hozzon létre, kifejezetten a lopakodó rosszindulatú programokat vagy azokat a rosszindulatú programokat célozva meg, amelyek nem hagynak hátra fájlrekordokat…

BA TAN

Forrás: https://www.sggp.org.vn/glassworm-tan-cong-chuoi-cung-ung-phan-mem-post844638.html