Siber güvenlik araştırmacıları, mali motivasyonlu bir çabanın parçası olarak 2024’ün başlarından bu yana npm kayıt defterini binlerce sahte paketle dolduran büyük ölçekli bir spam kampanyasına dikkat çekiyor.
Endor Labs araştırmacıları Cris Staicu ve Kiran Raj Salı günkü bir raporda, “Paketler uzun bir süre boyunca sistematik olarak yayınlandı ve npm kayıt defterini neredeyse iki yıl boyunca ekosistemde hayatta kalan önemsiz paketlerle doldurdu.” dedi.
Etkinliği ilk kez işaretleyen SourceCodeRED güvenlik araştırmacısı Paul McCarty’ye göre, koordineli kampanya şu ana kadar 46.484 kadar paket yayınladı. Nihai hedef ise oldukça sıra dışı – Veri hırsızlığına veya diğer kötü niyetli davranışlara odaklanmak yerine, npm kayıt defterini rastgele paketlerle doldurmak için tasarlandı.
Solucan yaşamının yayılma mekanizması ve yeni oluşturulan paketler için Endonezce isimlere ve gıda terimlerine dayanan farklı bir adlandırma şemasının kullanılması, ona IndonesianFoods adını kazandırdı. Sahte paketler Next.js projeleri gibi görünüyor.
McCarty, “Bu tehdidi özellikle endişe verici kılan şey, saldırganların tek bir saldırı yerine NPM solucanı üretmeye zaman ayırmasıdır” dedi. “Daha da kötüsü, bu tehdit aktörleri bunu iki yılı aşkın süredir sahneliyor.”
Sürekli ve koordineli bir çabaya işaret eden bazı işaretler arasında tutarlı adlandırma kalıpları ve paketlerin bir düzineden fazla npm hesabından oluşan küçük bir ağdan yayınlandığı gerçeği yer alıyor.
Solucan, her pakette tek bir JavaScript dosyasında (örneğin, “auto.js” veya “publishScript.js”) bulunur ve kullanıcı, “node auto.js” gibi bir komut kullanarak betiği manuel olarak çalıştırana kadar hareketsiz kalır. Başka bir deyişle, kurulum sırasında veya “kurulum sonrası” kancanın parçası olarak otomatik olarak yürütülmez.
Endor Labs güvenlik araştırması başkanı Henrik Plate, The Hacker News’e yaptığı açıklamada, birisinin neden JavaScript’i manuel olarak çalıştıracak kadar ileri gittiği açık değil, ancak 43.000’den fazla paketin varlığı, ya birden fazla kurbanın senaryoyu – kazara ya da meraktan – çalıştırdığını ya da saldırganların kayıt defterini sular altında bırakmak için bizzat çalıştırdığını gösteriyor.
“Koordineli bir sosyal mühendislik kampanyasına dair kanıt bulamadık, ancak kod sosyal mühendislik potansiyeliyle yazılmıştı; olası kurban senaryoları arasında şunlar yer alıyor: sahte blog gönderileri, eğitimler veya kullanıcılara ‘kurulumu tamamlamak’ veya ‘bir derleme sorununu düzeltmek’ için ‘node auto.js’yi çalıştırmaları talimatını veren README girişleri.” [and] CI/CD ardışık düzeni, tüm JavaScript dosyalarını yürüten *.js düğümü gibi joker karakterler içeren komut dosyaları oluşturuyor,” diye ekledi Raj.
“Yük yükünün hareketsiz tasarımı, ‘otomatik çalıştırma’ yerine manuel yürütme gerektirerek otomatik tespitten kaçınmayı amaçlıyor; saldırganlar, güvenlik tarayıcıları ve korumalı alan sistemleri tarafından işaretlenme şansını azaltır.”
Manuel yürütme, betiğin sonsuz bir döngüde bir dizi eylemi başlatmasına neden olur; <"private": true> “package.json” dosyasından. Bu ayar genellikle özel depoların yanlışlıkla yayınlanmasını önlemek için kullanılır. Daha sonra dahili sözlüğü kullanarak rastgele bir paket adı oluşturmaya ve npm’nin yinelenen sürüm tespitini atlamak için ona rastgele bir sürüm numarası atamaya devam eder.
Son aşamada ise spam paketi “npm yayınla” komutu kullanılarak npm’ye yüklenir. Bu adım sonsuz bir döngüde tekrarlanarak her 7 ila 10 saniyede bir yeni paketin dışarı itilmesine neden olur. Bu, dakikada yaklaşık 12 pakete, saatte 720 pakete veya günde 17.000 pakete karşılık gelir.
McCarty, “Bu, NPM kayıt defterini gereksiz paketlerle dolduruyor, altyapı kaynaklarını boşa harcıyor, arama sonuçlarını kirletiyor ve geliştiricilerin yanlışlıkla bu kötü amaçlı paketleri yüklemesi durumunda tedarik zinciri riskleri yaratıyor” dedi.
Endor Labs’a göre kampanya, ilk olarak Phylum (şu anda Veracode’un bir parçası) ve Sonatype tarafından Nisan 2024’te işaretlenen ve Çay protokolünü kötüye kullanarak “devasa bir otomatik kripto çiftçiliği kampanyası” yürütmek için binlerce spam paketinin yayınlanmasını içeren bir saldırının parçası.
Araştırmacılar, “Bu kampanyayı özellikle sinsi yapan şey, solucan benzeri yayılma mekanizmasıdır” dedi. “‘package.json’ dosyalarının analizi, bu spam paketlerinin tek başına mevcut olmadığını ortaya koyuyor; birbirlerine bağımlılık olarak atıfta bulunuyorlar ve kendi kendini kopyalayan bir ağ oluşturuyorlar.”
Bu nedenle, bir kullanıcı spam paketlerinden birini yüklediğinde, bu durum npm’nin bağımlılık ağacının tamamını almasına neden olur ve katlanarak daha fazla bağımlılık getirildiğinden kayıt defteri bant genişliği zorlanır.
Endor Labs, Arts-dao ve gula-dao gibi saldırganların kontrol ettiği paketlerden bazılarının beş farklı TEA hesabını listeleyen bir tea.yaml dosyası içerdiğini söyledi. Tea protokolü, açık kaynak geliştiricilerin yazılım katkılarından dolayı ödüllendirilmesine olanak tanıyan merkezi olmayan bir çerçevedir.
Bu muhtemelen tehdit aktörlerinin, etki puanlarını yapay olarak şişirerek TEA tokenleri kazanarak bu kampanyayı bir para kazanma vektörü olarak kullandıklarını gösteriyor. Faaliyetin arkasında kimin olduğu belli değil ancak kaynak kodu ve altyapı ipuçları, bunun Endonezya dışında faaliyet gösteren biri olabileceğini gösteriyor.
Uygulama güvenlik şirketi ayrıca rastgele İngilizce sözcüklerden (örn.,able_crocodile-notthedevs) oluşan farklı bir adlandırma şeması kullanan ikinci bir varyantı da işaretledi.
Bulgular ayrıca, yaşam döngüsü kancalarını izleyerek veya şüpheli sistem çağrılarını tespit ederek kurulum sırasında kötü amaçlı kod çalıştıran paketleri işaretlediği bilinen güvenlik tarayıcılarındaki güvenlik kör noktasını vurgulamaya da hizmet ediyor.
Endor Labs, “Bu durumda hiçbir şey bulamadılar çünkü kurulum sırasında bulunacak hiçbir şey yoktu” dedi. “Mevcut kampanyada işaretlenen paketlerin çok sayıda olması, güvenlik tarayıcılarının gelecekte bu sinyalleri analiz etmesi gerektiğini gösteriyor.”
Yazılım tedarik zinciri güvenlik firması Sonatype’ın baş güvenlik araştırmacısı Garrett Calpouzos, IndonesianFoods’u, süreçte güvenlik veri sistemlerini ezici bir şekilde çalıştıran, kendi kendini yayınlayan, büyük ölçekte çalışan bir solucan olarak nitelendirdi.
Calpouzos, “Teknik karmaşıklığın mutlaka daha yüksek olması gerekmiyor – ilginç bir şekilde, bu paketler geliştirici makinelerine sızmaya bile çalışmıyor gibi görünüyor – endişe verici bir oranda artan otomasyon ve ölçektir” dedi.
“Bu saldırıların her dalgası, npm’nin açık doğasını biraz yeni yollarla silah haline getiriyor. Bu, kimlik bilgilerini çalmak veya kod enjekte etmek olmayabilir, ancak yine de ekosistemi zorluyor ve dünyanın en büyük yazılım tedarik zincirini bozmanın ne kadar önemsiz olduğunu kanıtlıyor. Motivasyon belirsiz olsa da, sonuçları çarpıcı.”
Yorum yapmak için ulaşıldığında GitHub sözcüsü, söz konusu paketleri npm’den kaldırdığını ve politikalarına aykırı olan paketleri ve hesapları tespit etmeye, analiz etmeye ve kaldırmaya kararlı olduğunu söyledi.
Sözcü, “Kötü niyetli npm paketlerini, teknik zararlara neden olan yasa dışı aktif saldırıları veya kötü amaçlı yazılım kampanyalarını doğrudan destekleyen içeriğin yayınlanmasını yasaklayan GitHub’un Kabul Edilebilir Kullanım Politikaları uyarınca devre dışı bıraktık” diye ekledi.
“Platformun kötü niyetli kullanımını azaltmak için makine öğrenimini kullanan ve sürekli gelişen manuel incelemeler ve geniş ölçekte algılamalar kullanıyoruz. Ayrıca müşterilerimizi ve topluluk üyelerimizi kötüye kullanım ve spam’i bildirmeye teşvik ediyoruz.”