Anatomía de un ataque de paquetes maliciosos

En enero pasado, miles de usuarios de dos populares bibliotecas de código abierto, «Falso» y «Colores», se sorprendieron al ver que sus aplicaciones fallaban y mostraban datos incomprensibles después de haber sido infectados con un paquete malicioso. y en octubre Un actor de amenazas publicó 155 paquetes maliciosos en el repositorio de npm en una campaña de typosquatting dirigida a usuarios de 18 paquetes legítimos que, en conjunto, suelen ver más de 1500 millones de descargas semanales. ¿El gol del atacante? Para descargar e instalar un ladrón de contraseñas/troyano de puerta trasera.

Como sugiere el nombre, un paquete malicioso es un software creado con intenciones maliciosas. Lo que los hace particularmente preocupantes es que son notablemente fáciles de crear. Estos paquetes son útiles para una variedad de intentos maliciosos y son difíciles de evitar y detectar a menos que sepa qué buscar.

Una amenaza en rápido crecimiento

Los paquetes maliciosos no son nuevos, pero están proliferando a un ritmo alarmante. En nuestro «Informe especial sobre paquetes maliciososMend notó un aumento del 315 % en los paquetes maliciosos lanzados solo para npm y RubyGems entre 2021 y 2022 y espera que esta tendencia continúe.

Un tipo de malware, los paquetes maliciosos usan técnicas similares para engañar a las personas para que los descarguen, donde causan estragos en los sistemas de los usuarios. Debido a que los paquetes maliciosos generalmente provienen de lugares de confianza, son inusualmente efectivos.

Los paquetes maliciosos son una forma automatizada de crear un vector de ataque u obtener datos para habilitar otro vector de ataque que no requiere ninguna actividad adicional por parte del atacante. Simplemente carga el paquete y déjalo ir. Desde la perspectiva de un actor de amenazas, el esfuerzo realizado produce un alto retorno de la inversión. Por lo tanto, no sorprende que estemos viendo un aumento meteórico en los paquetes maliciosos.

Anatomía de un ataque de paquetes maliciosos

Los paquetes maliciosos se utilizan para robar credenciales, filtrar datos, convertir aplicaciones en botnets o eliminar datos. Pero primero, los atacantes deben engañar a alguien o algo para que descargue el paquete.

Los atacantes utilizan cuatro vectores de ataque básicos para los paquetes maliciosos:

1. Brandjacking: Cuando un atacante adquiere o se hace pasar por la identidad en línea de otra empresa o propietario del paquete y luego inyecta código malicioso. Este último método se usaba cuando se atacaba Intercambio de criptomonedas dYdX. En este caso, las versiones del paquete malicioso contenían un gancho de preinstalación que hacía que pareciera que se estaba descargando un script de CircleCI.
2. Typosquatting: Como sugiere el nombre, este ataque se basa en un simple error tipográfico. Un atacante lanza un paquete malicioso con un nombre similar a un paquete popular y espera a que un desarrollador escriba mal el nombre del paquete y, sin darse cuenta, llame a la versión maliciosa.
3. Secuestro de dependencia: Un atacante obtiene el control de un repositorio público para cargar una nueva versión maliciosa.
4. Confusión de dependencia: Una adición más reciente a la lista de vectores de ataque, la confusión de dependencias ocurre cuando un paquete malicioso en repositorios públicos tiene el mismo nombre que un paquete interno. El atacante usa esto para engañar a las herramientas de administración de dependencias para que descarguen el paquete público malicioso.

Debido a que los paquetes maliciosos son relativamente nuevos, las técnicas en las que confían los atacantes también están relativamente subdesarrolladas. Los atacantes que usan paquetes maliciosos generalmente se basan en cuatro técnicas comunes, que incluyen secuencias de comandos limpias y posteriores a la instalación, técnicas básicas de evasión, comandos de shell y técnicas básicas de comunicación de red. En la comunicación de red, los paquetes maliciosos utilizan métodos básicos para implementar, ejecutar y comunicarse en la computadora. Esta es una buena noticia para los defensores, porque incluso si el paquete se descarga correctamente, sigue siendo relativamente fácil de detectar mientras se implementa.

Al igual que con los vectores de ataque, los atacantes emplean cada vez más técnicas más sofisticadas, como la telemetría, que permiten la recopilación de datos. Hay muchas oportunidades para que los atacantes perfeccionen el uso de paquetes maliciosos. Esperamos enfoques más diversos y avanzados y ataques más difíciles de detectar a medida que los actores de amenazas evolucionan sus técnicas.

Si bien a primera vista el momento del lanzamiento de paquetes maliciosos parece aleatorio, nuestra investigación muestra que casi el 25 % se lanzó los jueves por la tarde. Atribuimos esto a que los atacantes conocen la proliferación de proveedores de ciberseguridad con sede en Israel, donde muchos celebran los viernes y sábados como fin de semana. Además, si apuntamos a la zona horaria de Israel, vemos que los ataques comienzan al final de la tarde, cuando termina la semana laboral.

Código abierto no tiene por qué significar temporada abierta

La razón principal por la que los paquetes maliciosos funcionan tan bien es porque el código abierto está disponible públicamente. Un novato con conocimientos básicos de programación no solo puede crear fácilmente un paquete malicioso, sino que también puede publicar fácilmente el código en repositorios de código abierto utilizados por millones de desarrolladores. Las probabilidades de éxito están muy a su favor.

Por eso es tan importante comprender qué aporta el código fuente abierto a las aplicaciones. Si las empresas aún no lo han hecho, deben comenzar a priorizar su cadena de suministro de software. Debe usar una herramienta de escaneo automatizado que pueda monitorear bibliotecas y repositorios de código fuente abierto en busca de vulnerabilidades y ataques, y usar herramientas que puedan ayudar a crear una lista de materiales de software (SBOM). A diferencia de las vulnerabilidades, que pueden permanecer en el código base durante meses, los paquetes maliciosos representan una amenaza urgente para el software y los sistemas.

ataques como log4j y el Vientos solares Las brechas de seguridad aparecen en los titulares, pero representan solo una pequeña fracción de los implacables ataques que se lanzan contra las aplicaciones todos los días. La creciente amenaza de ataques de paquetes maliciosos aumenta la urgencia de la creciente necesidad de un nuevo enfoque para los programas de seguridad de aplicaciones. Solo a través de AppSec persistente y automatizado, las empresas pueden ganar ventaja en la lucha por el software seguro.