GlassWorm atacă lanțurile de aprovizionare cu software.

Grupul Bkav estimează că zeci de mii de computere ale programatorilor au fost infectate cu GlassWorm.

Experții în securitate de la Bkav Group estimează că zeci de mii de computere ale programatorilor au fost infectate cu GlassWorm. Atacul a creat o reacție în lanț: hackerii au transformat aceste dispozitive în trambuline pentru a penetra rețelele interne ale corporațiilor, a manipula codul sursă și apoi a replicat automat și a răspândi virusul exponențial pe întregul lanț global de aprovizionare cu software, inclusiv în Vietnam.

Această campanie de atac nu s-a concentrat pe exploatarea directă a vulnerabilităților software. În schimb, hackerii au folosit conturi furate și token-uri de acces pentru a injecta cod malițios în codul sursă legitim partajat de programatori în depozitele de cod și platformele de utilități software.

Modificările rău intenționate sunt făcute sub pretextul unor conturi legitime sau deghizate cu informații despre istoricul actualizărilor codului sursă (commit), inclusiv autorul, conținutul și ora contribuției, similar actualizărilor legitime, ceea ce le face să pară normale și dificil de detectat vizual sau prin verificări preliminare.

„Hackerii încorporează direct comenzi malițioase în caractere Unicode «invizibile» din cod, transformând rânduri de text aparent goale în instrumente de atac ascunse. Privit cu ochiul liber sau în timpul verificărilor preliminare, codul pare complet normal. Acest lucru face dificilă detectarea oricăror anomalii atât pentru programatori, cât și pentru instrumentele tradiționale de testare”, a declarat Nguyen Dinh Thuy, expert în malware la Bkav.

Pe lângă injectarea de programe malware în depozitele de cod sursă, GlassWorm folosește și tehnici „invizibile” de injectare a caracterelor Unicode în unele metode de atac pentru a ocoli sistemele automate de verificare. În loc să utilizeze servere convenționale care sunt ușor de detectat și de oprit, această campanie exploatează rețeaua blockchain Solana pentru a stoca și transmite comenzi de control. Acest lucru face ca sistemul hackerului să fie descentralizat și extrem de dificil de oprit. Simultan, malware-ul alternează între cel puțin șase adrese IP de server C2 pentru a menține comunicarea și a-și ascunde activitatea.

Când este activat, malware-ul fură date sensibile, cum ar fi portofele de criptomonede, chei de securitate SSH, coduri de autentificare a accesului și informații despre sistemul programatorului, extinzându-și astfel penetrarea în sistemele organizației. În special, acest atac s-a răspândit în mediul de lucru zilnic al programatorilor, prin intermediul instrumentelor de dezvoltare, extensiilor sau segmentelor de cod dependente încorporate cu malware.

În Vietnam, platforme precum GitHub și npm sunt utilizate pe scară largă în dezvoltarea de produse, de la aplicații web și mobile până la sisteme enterprise. Dacă o bibliotecă populară este injectată cu malware, riscul se poate răspândi la multe proiecte software interne și sisteme enterprise prin dependențele utilizate de programatori. Bkav sfătuiește programatorii și organizațiile tehnologice să: Fixeze versiunile și să dezactiveze actualizările automate pentru biblioteci și extensii pentru a preveni infectarea încrucișată prin noi actualizări. Integrați instrumente automate de scanare a codului direct în fluxul IDE sau CI/CD pentru scanarea continuă și detectarea timpurie a codului ofuscat sau a caracterelor ascunse. Pentru depozitele de cod sursă, sunt necesare autentificarea multi-factor (MFA) obligatorie și principiile de autorizare minimă; funcționalitatea force-push este dezactivată pe ramurile critice. Asigurați-vă că 100% din endpoint-uri sunt echipate cu software antivirus profesional și combinați-l cu soluții EDR/XDR avansate pentru a crea un strat dublu de apărare, vizând în mod specific malware-ul stealth sau malware-ul care nu lasă înregistrări de fișiere...

BA TAN

Sursă: https://www.sggp.org.vn/glassworm-tan-cong-chuoi-cung-ung-phan-mem-post844638.html