Δεκάδες πακέτα Red Hat καλύπτονται από το επίσημο κανάλι NPM

Το σκουλήκι Shai-Hulud έχει όλα τα χαρακτηριστικά του κακόβουλου λογισμικού ελευθέρωση Ως δωρεάν διαθέσιμο ανοιχτού κώδικα τον περασμένο μήνα. Το TeamPCP ήταν η πρώτη ομάδα που χρησιμοποίησε το Shai-Hulud και προώθησε έναν διαγωνισμό που υποσχόταν να πληρώσει 1.000 $ στον χάκερ που επιτέθηκε στη μεγαλύτερη αλυσίδα εφοδιασμού χρησιμοποιώντας το κακόβουλο λογισμικό. Το TeamPCP βρίσκεται επίσης πίσω από προηγούμενες επιθέσεις εφοδιαστικής αλυσίδας. Τώρα που το σκουλήκι βρίσκεται στα χέρια πολλών άλλων ομάδων απειλών, οι επιθέσεις στην εφοδιαστική αλυσίδα είναι πιθανό να αυξηθούν.

Το κακόβουλο λογισμικό αφιερώνει μεγάλη προσοχή CI/CD Σύστημα (Continuous Integration/Continuous Delivery), το οποίο αναπτύσσει αυτόματα αλλαγές δόμησης, δοκιμών και κώδικα για να επιτρέπει ταχύτερες και πιο αξιόπιστες εκδόσεις λογισμικού. Το κακόβουλο λογισμικό που εξαπλώθηκε στην επίθεση της Δευτέρας δημοσιεύτηκε μέσω του GitHub Actions OIDC (OpenID Connect), υποδεικνύοντας ότι ο αγωγός CI/CD της Red Hat είχε παραβιαστεί. Το OIDC είναι ένας μηχανισμός ασφαλείας που έχει σχεδιαστεί για την επικοινωνία με υπηρεσίες cloud μέσω της χρήσης προσωρινών πιστοποιητικών.

Μόλις εγκατασταθεί, το κακόβουλο λογισμικό στοχεύει τα πιστοποιητικά CI/CD άλλων οργανισμών. Ο συμβιβασμός του GitHub Actions OIDC της Red Hat είναι πιθανότατα το αποτέλεσμα μιας προηγούμενης επίθεσης στην αλυσίδα εφοδιασμού που μόλυνε το μηχάνημα ενός υπαλλήλου.

Σε ένα email που εστάλη μετά τη δημοσιοποίηση αυτής της ανάρτησης, η Red Hat είπε ότι είχε αφαιρέσει τα κακόβουλα πακέτα.

“Τα πακέτα περιορίζονται αυστηρά στην εσωτερική ανάπτυξη και ο κακόβουλος κώδικας δεν κυκλοφόρησε για χρήση από τους πελάτες μέσω του συστήματος console.redhat.com”, ανέφερε το email. «Ενώ η έρευνά μας βρίσκεται σε εξέλιξη, δεν έχουμε εντοπίσει καμία επίδραση στα περιβάλλοντα πελατών ή συνεργατών ή στα συστήματα παραγωγής Red Hat».

Δεδομένης της επιτυχίας άλλων πρόσφατων επιθέσεων εφοδιαστικής αλυσίδας, όποιος έχει αγγίξει ένα από τα πακέτα που έχουν επηρεαστεί τις τελευταίες 36 ώρες θα πρέπει να θέσει σε κίνδυνο όλα τα διαπιστευτήρια για τους σταθμούς εργασίας, τους αγωγούς CI/CD και τις υπηρεσίες και τα αποθετήρια cloud. Αυτό σημαίνει ότι οι εργαζόμενοι θα πρέπει να σταματήσουν αυτό που κάνουν αυτή τη στιγμή και να διερευνήσουν διεξοδικά.

Σε μια πρόσφατη επίθεση στην αλυσίδα εφοδιασμού που έπληξε το Checkmark, η εταιρεία ασφαλείας απέτυχε να ξεριζώσει πλήρως το υπεύθυνο μέρος. Στη συνέχεια, τα σημάδια ελέγχου χτυπιούνται άλλες δύο φορές. Τα διαπιστευτήρια σημάδι επιλογής που χρησιμοποιήθηκαν στην πρώτη επίθεση προήλθαν από επίθεση αλυσίδας εφοδιασμού στον προγραμματιστή λογισμικού Trivi. Η περιστροφή του Checkmark και η αποτυχία της πλήρους αποκατάστασης της αρχικής παραβίασης καταδεικνύουν τη δυσκολία της πλήρους ανάκαμψης από τέτοια ελαττώματα ασφαλείας και τους κινδύνους που προκύπτουν.

Και οι δύο υποδοχή Και Αϊκίντο Υπάρχει μια λίστα με επηρεαζόμενα πακέτα Red Hat και άλλους δείκτες συμβιβασμού που θα πρέπει να χρησιμοποιήσουν άμεσα άτομα ή οργανισμοί που ενδέχεται να επηρεαστούν.

Ενημερώθηκε η ιστορία για να προσθέσετε σχόλια Red Hat.