Miasma-árásarverkfærakistan birtist sem opinn hugbúnaður á GitHub

Kóði Miasma-árásarverkfærakistunnar birtist á GitHub þann 9. júní í gegnum brotna aðganga, dögum eftir að ormurinn réðst á 73 Microsoft gagnageymslur.reddit+1
Ormurinn, sem er sprottinn úr Shai-Hulud-ramma TeamPCP, safnar skýjaskilríkjum og dreifir sér sjálfkrafa í gegnum npm-pakka, eftir að hafa áður brotist inn í innviði Red Hat.hackread+1
NCSC í Bretlandi hvatti stofnanir til að gera hlé á sjálfvirkum uppfærslum á ósjálfstæðum hugbúnaði og endurnýja skilríki, þar sem ókeypis verkfærakistur flýta fyrir ógnum við aðfangakeðjuna.itpro+1

Dögum eftir að Miasma-ormurinn braust inn í 73 GitHub-gagnageymslur Microsoft í einni af árásargjarnustu árásum á hugbúnaðaraðfangakeðjuna til þessa, hafa öryggisrannsakendur bent á að kóði árásarrammans hafi birst á GitHub sjálfu – sem lækkar þröskuldinn fyrir framtíðarhermiárásum gegn innviðum forritara um allan heim.

Margar gagnageymslur sem merktar voru sem opinn hugbúnaður fyrir Miasma-verkfærakistuna fóru að birtast á GitHub þann 9. júní, samkvæmt skýrslum frá samfélaginu, í kjölfar fyrri útgáfa á opnum kóða fyrir undirliggjandi Mini Shai-Hulud-ramma af hálfu TeamPCP-hópsins í maí. National Cyber Security Centre í Bretlandi hefur sérstaklega hvatt stofnanir til að yfirfara ósjálfstæði hugbúnaðar síns og varað við því að árásir á aðfangakeðjuna sem beinast að opnum hugbúnaðarpökkum fari vaxandi.itpro+3

Frá ormi að vopnahönnun

Miasma-ormurinn þróaðist úr Mini Shai-Hulud, mátbundinni TypeScript/Bun-verkfærakistu fyrir söfnun skilríkja, eitrun aðfangakeðjunnar og dulkóðaðan gagnaflutning. TeamPCP birti fyrst Shai-Hulud-kóðann þann 12. maí, samkvæmt greiningum frá Datadog Security Labs og Akamai. ReversingLabs varaði við því á þeim tíma að opin útgáfa veitti „hönnun fyrir árásaraðila“, sem lækkaði þröskuldinn fyrir stórfelldum árásum á þróunarumhverfi.reversinglabs+2

Hermistarfsemi fylgdi næstum strax í kjölfarið. Um miðjan maí greindi OX Security frá nýjum aðilum sem dreifðu Shai-Hulud-klónum í skaðlegum npm-pökkum. Miasma-afbrigðið stigmagnaði síðan herferðina, réðst á npm-nafnarými Red Hat þann 1. júní og braut 32 pakka sem hafa um 80.000 til 117.000 niðurhal í hverri viku. Þann 5. júní náði ormurinn Azure GitHub-stofnunum Microsoft og gróðursetti hleðslur sem virkjuðust sjálfkrafa í gervigreindarkóðunarverkfærum, þar á meðal Claude Code, Gemini CLI og Cursor. GitHub gerði allar 73 gagnageymslurnar óvirkar innan 105 sekúndna frá sjálfvirkri uppgötvun og Microsoft staðfesti síðar að gagnageymslurnar hefðu verið endurheimtar.thehackernews+6

NCSC varar við kerfisbundinni áhættu

Leiðbeiningar NCSC, sem birtar voru í byrjun júní, útlistuðu tafarlausar aðgerðir fyrir stofnanir: að gera hlé á sjálfvirkum uppfærslum á ósjálfstæðum hugbúnaði þar sem grunur leikur á broti, yfirfara nýjar útgáfur handvirkt, endurnýja skilríki sem hafa verið afhjúpuð, framfylgja fjölþátta auðkenningu á forritara- og skráningaraðgöngum og nota einkareknar eða traustar skráningar.ncsc+1

„Þessar árásir undirstrika þörfina á að endurskoða hvernig ósjálfstæði er kynnt og stjórnað, sem hluti af öruggum lífsferli þróunar,“ sagði NCSC.ncsc

Opið tímabil fyrir árásaraðila

SANS Internet Storm Center benti á að í lok maí höfðu „margir birgjar tilkynnt að Shai-Hulud-rammakóðinn hefði verið birtur á GitHub“ og „hermiútgáfur væru þegar í gangi“. Með Miasma-afbrigðið nú aðgengilegt á sama hátt, standa öryggisteymi frammi fyrir vaxandi ógnarflötum. StepSecurity hefur þegar greint frekari þróun á spilliforritinu, sem fylgst er með undir nafninu Hades, sem bætir við eyðileggjandi getu sem virkjast ef stolin auðkenni eru afturkölluð.isc.sans+2

Stofnanir sem treysta á opinn hugbúnað starfa nú í umhverfi þar sem sóknarverkfærakistur fyrir aðfangakeðjur eru frjálslega aðgengilegar – og hafa reynst árangursríkar gegn sumum af stærstu hugbúnaðarfyrirtækjum heims.

Heimildir (26)