มัลแวร์ GlassWorm โจมตีห่วงโซ่อุปทานซอฟต์แวร์

แคมเปญการแพร่กระจายมัลแวร์ GlassWorm ได้แทรกซึมเข้าไปในแหล่งเก็บซอร์สโค้ดและยูทิลิตี้ซอฟต์แวร์กว่า 400 แห่ง บนแพลตฟอร์มการเขียนโปรแกรมยอดนิยม เช่น GitHub, npm, VSCode/OpenVSX เป็นต้น

กลุ่ม Bkav ประเมินว่าคอมพิวเตอร์ของโปรแกรมเมอร์หลายหมื่นเครื่องติดมัลแวร์ GlassWorm แล้ว

ผู้เชี่ยวชาญด้านความปลอดภัยจาก Bkav Group ประเมินว่าคอมพิวเตอร์ของโปรแกรมเมอร์หลายหมื่นเครื่องติดไวรัส GlassWorm การโจมตีครั้งนี้ก่อให้เกิดปฏิกิริยาลูกโซ่: แฮกเกอร์ใช้เครื่องเหล่านี้เป็นจุดเริ่มต้นในการเจาะเข้าไปในเครือข่ายภายในขององค์กร แก้ไขซอร์สโค้ด จากนั้นก็ทำการจำลองและแพร่กระจายไวรัสอย่างรวดเร็วไปทั่วห่วงโซ่อุปทานซอฟต์แวร์ทั่วโลก รวมถึงประเทศเวียดนามด้วย

การโจมตีครั้งนี้ไม่ได้มุ่งเน้นไปที่การใช้ช่องโหว่ของซอฟต์แวร์โดยตรง แต่แฮกเกอร์ใช้บัญชีและโทเค็นการเข้าถึงที่ถูกขโมยมาเพื่อแทรกโค้ดที่เป็นอันตรายเข้าไปในซอร์สโค้ดที่ถูกต้องซึ่งโปรแกรมเมอร์แชร์ไว้ในที่เก็บโค้ดและแพลตฟอร์มยูทิลิตี้ซอฟต์แวร์

การเปลี่ยนแปลงที่เป็นอันตรายนั้นกระทำโดยการแอบอ้างเป็นบัญชีที่ถูกต้อง หรือปลอมแปลงด้วยข้อมูลประวัติการอัปเดตซอร์สโค้ด (commit) ซึ่งรวมถึงผู้เขียน เนื้อหา และเวลาที่ร่วมแก้ไข คล้ายกับการอัปเดตที่ถูกต้อง ทำให้ดูเหมือนปกติและยากต่อการตรวจจับด้วยสายตาหรือการตรวจสอบเบื้องต้น

“แฮกเกอร์ฝังคำสั่งที่เป็นอันตรายลงในอักขระ Unicode ที่ ‘มองไม่เห็น’ ในโค้ดโดยตรง เปลี่ยนบรรทัดข้อความที่ดูเหมือนว่างเปล่าให้กลายเป็นเครื่องมือโจมตีที่ซ่อนเร้น เมื่อมองด้วยตาเปล่าหรือระหว่างการตรวจสอบเบื้องต้น โค้ดจะดูปกติทุกอย่าง ทำให้โปรแกรมเมอร์และเครื่องมือทดสอบแบบดั้งเดิมตรวจจับความผิดปกติได้ยาก” เหงียน ดินห์ ทุย ผู้เชี่ยวชาญด้านมัลแวร์จาก Bkav กล่าว

นอกจากการแทรกมัลแวร์เข้าไปในที่เก็บซอร์สโค้ดแล้ว GlassWorm ยังใช้เทคนิคการแทรกอักขระ Unicode ที่ "มองไม่เห็น" ในวิธีการโจมตีบางอย่างเพื่อหลีกเลี่ยงระบบตรวจสอบอัตโนมัติ แทนที่จะใช้เซิร์ฟเวอร์แบบเดิมที่ตรวจจับและปิดได้ง่าย แคมเปญนี้ใช้ประโยชน์จากเครือข่ายบล็อกเชน Solana เพื่อจัดเก็บและส่งคำสั่งควบคุม ทำให้ระบบของแฮ็กเกอร์กระจายอำนาจและยากต่อการหยุดยั้งอย่างยิ่ง ในขณะเดียวกัน มัลแวร์จะสลับไปมาระหว่างที่อยู่ IP ของเซิร์ฟเวอร์ C2 อย่างน้อยหกที่อยู่เพื่อรักษาการสื่อสารและปกปิดกิจกรรมของมัน

เมื่อถูกเปิดใช้งาน มัลแวร์จะขโมยข้อมูลสำคัญ เช่น กระเป๋าเงินคริปโตเคอร์เรนซี คีย์ความปลอดภัย SSH รหัสยืนยันการเข้าถึง และข้อมูลระบบของโปรแกรมเมอร์ ทำให้สามารถแทรกซึมเข้าไปในระบบขององค์กรได้กว้างขึ้น โดยเฉพาะอย่างยิ่ง การโจมตีนี้ได้แพร่กระจายไปยังสภาพแวดล้อมการทำงานประจำวันของโปรแกรมเมอร์ ผ่านเครื่องมือพัฒนา ส่วนขยาย หรือส่วนของโค้ดที่ฝังมัลแวร์ไว้

ในเวียดนาม แพลตฟอร์มอย่าง GitHub และ npm ถูกใช้งานอย่างแพร่หลายในการพัฒนาผลิตภัณฑ์ ตั้งแต่เว็บแอปพลิเคชันและแอปพลิเคชันบนมือถือ ไปจนถึงระบบระดับองค์กร หากไลบรารีที่เป็นที่นิยมถูกโจมตีด้วยมัลแวร์ ความเสี่ยงสามารถแพร่กระจายไปยังโครงการซอฟต์แวร์ภายในประเทศและระบบระดับองค์กรจำนวนมากผ่านทางไลบรารีที่โปรแกรมเมอร์ใช้งาน Bkav แนะนำให้โปรแกรมเมอร์และองค์กรด้านเทคโนโลยีปฏิบัติดังนี้: กำหนดเวอร์ชันที่แน่นอนและปิดใช้งานการอัปเดตอัตโนมัติสำหรับไลบรารีและส่วนขยายเพื่อป้องกันการติดเชื้อข้ามสายพันธุ์ผ่านการอัปเดตใหม่ ผสานรวมเครื่องมือสแกนโค้ดอัตโนมัติเข้ากับ IDE หรือ CI/CD โดยตรงเพื่อการสแกนอย่างต่อเนื่องและการตรวจจับโค้ดที่ถูกเข้ารหัสหรืออักขระที่ซ่อนอยู่ตั้งแต่เนิ่นๆ สำหรับที่เก็บซอร์สโค้ด จำเป็นต้องมีการตรวจสอบสิทธิ์แบบหลายปัจจัย (MFA) และหลักการอนุญาตขั้นต่ำ ปิดใช้งานฟังก์ชัน force-push ในสาขาที่สำคัญ ตรวจสอบให้แน่ใจว่าอุปกรณ์ปลายทางทั้งหมด 100% ติดตั้งซอฟต์แวร์ป้องกันไวรัสระดับมืออาชีพ และผสานรวมกับโซลูชัน EDR/XDR ขั้นสูงเพื่อสร้างการป้องกันสองชั้น โดยเฉพาะอย่างยิ่งเพื่อต่อต้านมัลแวร์ที่ซ่อนตัวหรือมัลแวร์ที่ไม่ทิ้งร่องรอยไฟล์…

บา ตัน

ที่มา: https://www.sggp.org.vn/glassworm-tan-cong-chuoi-cung-ung-phan-mem-post844638.html