Shai-Hulud & Co.: Η αλυσίδα εφοδιασμού λογισμικού ως αδυναμία

Οι σημερινές εφαρμογές βασίζονται σε πολυάριθμα συστατικά, καθένα από τα οποία, μαζί με τα περιβάλλοντα ανάπτυξης, αντιπροσωπεύει μια επιφάνεια επίθεσης. Ανεξάρτητα από το αν οι εταιρείες αναπτύσσουν κώδικα εσωτερικά ή βασίζονται σε τρίτους προμηθευτές, οι CISOs, οι ειδικοί ασφαλείας και οι προγραμματιστές πρέπει να δίνουν ιδιαίτερη προσοχή στην αλυσίδα εφοδιασμού λογισμικού. Αυτοί οι κίνδυνοι περιλαμβάνουν, για παράδειγμα, τα React2Shell, Shai-Hulud και XZ Utils — όλες ευπάθειες στην αλυσίδα εφοδιασμού λογισμικού που ξεκίνησαν μικρές και αργότερα είχαν τεράστιες συνέπειες.

Δείτε επίσης: Ευπάθειες σε πλατφόρμες npm και yarn επιτρέπουν παράκαμψη των αμυνών κατά του Shai-Hulud

Το Shai-Hulud ξεχωρίζει ιδιαίτερα, σηματοδοτώντας το τέλος της “παθητικής εποχής” των επιθέσεων στην αλυσίδα εφοδιασμού και την αρχή της “ενεργής εποχής worm“. Αυτή η αλλαγή υπόσχεται καταστροφικές συνέπειες για τις γραμμές παραγωγής λογισμικού. Παραδοσιακά, οι επιθέσεις στην αλυσίδα εφοδιασμού ήταν παθητικές παγίδες. Ένας επιτιθέμενος θα ανέβαζε ένα πακέτο με λάθος ορθογραφία (typosquatting), όπως “reqeusts” αντί για “requests” και θα περίμενε έναν αμελή προγραμματιστή να κάνει λάθος. Η ακτίνα έκρηξης ήταν γραμμική και αρκετά αργή. Το Shai-Hulud άλλαξε τους κανόνες του παιχνιδιού εισάγοντας μια μέθοδο διάδοσης σαν worm.

Μόλις προσγειωθεί σε μια μηχανή προγραμματιστή, συλλέγει ενεργά διαπιστευτήρια (NPM tokens, GitHub secrets). Χρησιμοποιεί αυτά τα κλεμμένα διαπιστευτήρια για να δημοσιεύσει αυτόματα μολυσμένες εκδόσεις άλλων νόμιμων πακέτων που διαχειρίζεται το θύμα.

Σε αντίθεση με το spyware, που στοχεύει να παραμείνει κρυφό, οι παραλλαγές του Shai-Hulud περιλαμβάνουν ένα “dead man switch“. Αν ανιχνεύσει ότι μπλοκάρεται ή αναλύεται, προσπαθεί να διαγράψει το σύστημα του θύματος, διαγράφοντας εντελώς όλα τα ίχνη του. Ο στόχος δεν είναι πλέον μόνο η εφαρμογή, αλλά η ταυτότητα του προγραμματιστή και οι αυτοματοποιημένες γραμμές παραγωγής CI/CD που τους εμπιστεύονται έμμεσα.

Ένα worm όπως το Shai-Hulud θα μπορούσε να μολύνει το φορητό υπολογιστή ενός επιστήμονα δεδομένων, να σαρώσει το τοπικό ιστορικό συνομιλιών LLM για ιδιωτικά ονόματα πακέτων και να καταχωρήσει αυτόματα κακόβουλες εκδόσεις δημόσια. Ένα worm σε αυτό το οικοσύστημα δεν θα κατέρριπτε μόνο έναν ιστότοπο αλλά θα μπορούσε επίσης να δηλητηριάσει διακριτικά χρηματοοικονομικά μοντέλα, να αλλοιώσει δεδομένα ιατρικής έρευνας ή να εισάγει backdoors σε εταιρικά σύνολα εκπαίδευσης AI — ζημιά που θα μπορούσε να παραμείνει απαρατήρητη για χρόνια.

Δείτε ακόμα: Η καμπάνια Shai-Hulud v2 επεκτείνεται από το npm στο Maven

Άλλα παραδείγματα θα μπορούσαν να αφορούν τις γλώσσες προγραμματισμού Java/JVM ή Rust/Go· και εδώ, οι επιπτώσεις θα ήταν καταστροφικές. Η πιο τρομακτική προοπτική, ωστόσο, είναι η σύγκλιση αυτών των απειλών σε μια πολυγλωσσική επίθεση στην αλυσίδα εφοδιασμού. Επί του παρόντος, οι ομάδες ασφαλείας λειτουργούν απομονωμένα. Η AppSec παρακολουθεί τον κώδικα, η CloudSec παρακολουθεί το cloud, η NetworkSec παρακολουθεί την περίμετρο. Μια πολυγλωσσική επίθεση σχεδιάζεται για να διαπεράσει απρόσκοπτα αυτά τα σιλό.

Η επίθεση θα μπορούσε να ξεκινήσει στο NPM αλλά να τελειώσει ως ένα μεταγλωττισμένο δυαδικό backdoor στην υποδομή παραγωγής cloud. Η ομάδα ασφαλείας JavaScript δεν θα το ανιχνεύσει επειδή έφυγε αμέσως από τον τομέα τους. Η ομάδα ασφαλείας του cloud θα χάσει επίσης την απειλή επειδή παραδόθηκε από μια αξιόπιστη γραμμή παραγωγής CI χρησιμοποιώντας έγκυρα διαπιστευτήρια. Οι CISOs πρέπει να είναι ενήμεροι για αυτό και να λάβουν κατάλληλες προφυλάξεις.

Ο Κανονισμός Κυβερνοανθεκτικότητας της ΕΕ (CRA) παρέχει συστάσεις για τους CISOs. Απαιτεί την προστασία των ψηφιακών προϊόντων για κατασκευαστές, εισαγωγείς και διανομείς, ενθαρρύνοντάς τους να επενδύσουν σε ασφαλή σχεδίαση κατά την ανάπτυξη και συντήρηση. Οι απαιτήσεις που περιγράφονται εκεί πρέπει να εφαρμοστούν σταδιακά μέχρι το τέλος του 2027 και περιλαμβάνουν την ασφάλεια του δικτυωμένου υλικού και λογισμικού μέσω της διαχείρισης των ευπαθειών και της δημοσίευσης ή κοινοποίησής τους στις αρμόδιες αρχές.

Δείτε επίσης: Νέα έκδοση του Shai-Hulud worm εξαπλώνεται μέσω npm, GitHub

Επιπλέον, οι τρεις προαναφερθέντες ενδιαφερόμενοι πρέπει επίσης να τεκμηριώνουν τα συστατικά του λογισμικού σε καταλόγους υλικών λογισμικού (SBOMs). Η Οδηγία NIS2, η οποία έχει πλέον τεθεί σε ισχύ, περιέχει παρόμοιες απαιτήσεις για τους φορείς εκμετάλλευσης κρίσιμων υποδομών (KRITIS) με αυτές που προβλέπονται στον Νόμο Εφαρμογής NIS2 (NIS2UmsuCG) και τον Νόμο KRITIS σχετικά με τα προϊόντα και τους προμηθευτές.