GlassWorm attacca le catene di fornitura del software.

La campagna di distribuzione del malware GlassWorm ha infiltrato oltre 400 repository di codice sorgente e utility software su piattaforme di programmazione popolari come GitHub, npm, VSCode/OpenVSX, ecc.

Il gruppo Bkav stima che decine di migliaia di computer di programmatori siano stati infettati da GlassWorm.

Gli esperti di sicurezza del Gruppo Bkav stimano che decine di migliaia di computer di programmatori siano stati infettati da GlassWorm. L'attacco ha innescato una reazione a catena: gli hacker hanno trasformato questi dispositivi in ​​trampolini di lancio per penetrare nelle reti interne aziendali, manipolare il codice sorgente e quindi replicare e diffondere automaticamente il virus in modo esponenziale lungo l'intera catena di fornitura globale del software, Vietnam compreso.

Questa campagna di attacchi non si è concentrata sullo sfruttamento diretto delle vulnerabilità del software. Al contrario, gli hacker hanno utilizzato account e token di accesso rubati per iniettare codice dannoso nel codice sorgente legittimo condiviso dai programmatori su repository di codice e piattaforme di utilità software.

Le modifiche dannose vengono apportate sotto le spoglie di account legittimi o mascherate con informazioni sulla cronologia degli aggiornamenti (commit) del codice sorgente, inclusi autore, contenuto e data di contributo, simili ad aggiornamenti legittimi, in modo da apparire normali e difficili da rilevare visivamente o tramite controlli preliminari.

"Gli hacker incorporano direttamente comandi dannosi in caratteri Unicode 'invisibili' all'interno del codice, trasformando righe di testo apparentemente vuote in strumenti di attacco occulti. A occhio nudo o durante i controlli preliminari, il codice appare completamente normale. Questo rende difficile sia per i programmatori che per i tradizionali strumenti di test rilevare eventuali anomalie", ha affermato Nguyen Dinh Thuy, esperto di malware presso Bkav.

Oltre a iniettare malware nei repository del codice sorgente, GlassWorm utilizza anche tecniche di iniezione di caratteri Unicode "invisibili" in alcuni metodi di attacco per eludere i sistemi di verifica automatizzati. Invece di utilizzare server convenzionali facilmente rilevabili e disattivabili, questa campagna sfrutta la rete blockchain di Solana per archiviare e trasmettere i comandi di controllo. Ciò rende il sistema dell'hacker decentralizzato ed estremamente difficile da arrestare. Allo stesso tempo, il malware alterna almeno sei indirizzi IP di server C2 per mantenere la comunicazione e nascondere la propria attività.

Una volta attivato, il malware ruba dati sensibili come portafogli di criptovalute, chiavi di sicurezza SSH, codici di autenticazione per l'accesso e informazioni di sistema dei programmatori, espandendo così ulteriormente la sua penetrazione nei sistemi dell'organizzazione. In particolare, questo attacco si è diffuso nell'ambiente di lavoro quotidiano dei programmatori, attraverso strumenti di sviluppo, estensioni o segmenti di codice dipendenti che incorporano il malware.

In Vietnam, piattaforme come GitHub e npm sono ampiamente utilizzate nello sviluppo di prodotti, dalle applicazioni web e mobile ai sistemi aziendali. Se una libreria popolare viene infettata da malware, il rischio può estendersi a molti progetti software nazionali e sistemi aziendali attraverso le dipendenze utilizzate dai programmatori. Bkav consiglia a programmatori e organizzazioni tecnologiche di: bloccare le versioni e disabilitare gli aggiornamenti automatici per librerie ed estensioni per prevenire infezioni incrociate tramite nuovi aggiornamenti. Integrare strumenti di scansione automatica del codice direttamente nell'IDE o nel flusso CI/CD per la scansione continua e l'individuazione precoce di codice offuscato o caratteri nascosti. Per i repository del codice sorgente, sono richiesti l'autenticazione a più fattori (MFA) obbligatoria e principi di autorizzazione minimi; la funzionalità di push forzato è disabilitata sui rami critici. Assicurarsi che il 100% degli endpoint sia dotato di software antivirus professionale e combinarlo con soluzioni EDR/XDR avanzate per creare un doppio livello di difesa, mirato in particolare al malware stealth o al malware che non lascia tracce nei file…

BA TAN

Fonte: https://www.sggp.org.vn/glassworm-tan-cong-chuoi-cung-ung-phan-mem-post844638.html