Το νέο CanisterWorm κλέβει διακριτικά npm και διαδίδεται μέσω παραβιασμένων λογαριασμών εκδοτών

Το CanisterWorm ήρθε για πρώτη φορά στο κοινό μέσω πρώιμων αναφορών από ερευνητές ασφαλείας στα Socket and Endor Labs, οι οποίοι εντόπισαν ένα επαναλαμβανόμενο μοτίβο κακόβουλων ενημερώσεων πακέτων σε πολλούς λογαριασμούς εκδοτών npm.

Αυτή η συμπεριφορά αλυσιδωτής αντίδρασης σημαίνει ότι ένας επηρεασμένος λογαριασμός προγραμματιστή μπορεί να γίνει σημείο εκκίνησης για τη δηλητηρίαση δεκάδων μεταγενέστερων πακέτων, θέτοντας σε άμεσο κίνδυνο ένα ευρύ φάσμα εξαρτημένων έργων και των χρηστών τους.

Αυτό που κάνει το CanisterWorm ιδιαίτερα δύσκολο να συγκρατηθεί είναι το πόσο φυσικά αναμιγνύεται σε κανονικές ροές εργασιών ανάπτυξης.

Μέσα στην αλυσίδα μόλυνσης του σκουληκιού

Η διαδικασία μόλυνσης ξεκινά τη στιγμή που εκτελείται ένας προγραμματιστής npm install σε ένα συμβιβασμένο πακέτο.

Ένα κακόβουλο postinstall γάντζος ενσωματωμένος μέσα στο package.json Το αρχείο εκτελείται αυτόματα και ρίχνει αθόρυβα μια κερκόπορτα Python στο κεντρικό σύστημα χωρίς ορατή προειδοποίηση.

Σε μηχανές Linux, ο ιός τύπου worm καταχωρεί μια μόνιμη υπηρεσία παρασκηνίου με το όνομα pgmon διά μέσου systemdδιασφαλίζοντας ότι παραμένει ενεργό και επιβιώνει από τις επανεκκινήσεις του συστήματος.

Μόλις εγκατασταθεί, η κερκόπορτα μετράει συνεχώς ένα δοχείο πρωτοκόλλου υπολογιστή Διαδικτύου (ICP) — ένα αποκεντρωμένο τελικό σημείο που φιλοξενείται σε blockchain — που λειτουργεί ως διακομιστής εντολών και ελέγχου νεκρής απόθεσης.

Η πιο επικίνδυνη φάση της επίθεσης είναι η ρουτίνα αυτόνομης εξάπλωσης. Σαρώνει το κακόβουλο λογισμικό .npmrc αρχεία στον κατάλογο του έργου, τον αρχικό φάκελο του χρήστη και τις διαδρομές διαμόρφωσης σε όλο το σύστημα, αναζητώντας _authToken αξίες.

Διαβάζει επίσης το NPM_TOKEN και NPM_TOKENS μεταβλητές περιβάλλοντος. Με αυτά τα κλεμμένα διαπιστευτήρια, ένα ενσωματωμένο deploy.js Η δέσμη ενεργειών θέτει ερωτήματα στο μητρώο npm, εντοπίζει κάθε πακέτο που διατηρεί το θύμα, αυξάνει τον αριθμό έκδοσης της ενημέρωσης κώδικα και δημοσιεύει αυτόματα την αλλοιωμένη ενημέρωση.

Γνωστά παραβιασμένα πακέτα:-

Οποιοσδήποτε εκτελεί οποιαδήποτε από τις αναγνωρισμένες εκδόσεις πακέτων που έχουν παραβιαστεί θα πρέπει να αντιμετωπίζει το περιβάλλον του ως ήδη μολυσμένο. Οι προγραμματιστές πρέπει να εναλλάσσουν αμέσως όλα τα διακριτικά δημοσίευσης npm που είναι αποθηκευμένα .npmrc αρχεία, μεταβλητές περιβάλλοντος και μυστικά αγωγών CI/CD.

Στο Linux, το pgmon η υπηρεσία πρέπει να διακοπεί και να απενεργοποιηθεί η χρήση systemctlμε τα σχετικά αρχεία και τους καταλόγους υπηρεσιών του να έχουν αφαιρεθεί εντελώς.

Τα προσωρινά αρχεία /tmp/pglog και /tmp/.pg_state πρέπει να διαγραφεί. Προσβεβλημένος node_modules οι κατάλογοι θα πρέπει να εκκαθαριστούν και να ξαναχτιστούν από την αρχή χρησιμοποιώντας επαληθευμένες, ασφαλείς εκδόσεις πακέτων.

Οι προγραμματιστές των οποίων τα διακριτικά κλάπηκαν πρέπει να καταργήσουν τη δημοσίευση των παραβιασμένων εκδόσεων πακέτων από το μητρώο npm, καθώς η απλή δημοσίευση μιας νεότερης έκδοσης δεν προστατεύει τους μεταγενέστερους χρήστες που ενδέχεται να εγκαταστήσουν τη μολυσμένη έκδοση.