/

2025ko Irailak 24

NPM hornikuntza-katearen eraso masiboak garatzaileak malwarearen eraginpean jartzen ditu

Sarrera: NPM hornikuntza-katearen erasoen mehatxu gero eta handiagoa

Mundu gero eta digitalagoan, softwarearen menpekotasunen segurtasuna inoiz baino kritikoagoa da. Palo Alto Networks-en dibisio bat den Unit 42-k aurkitu berri duen NPM hornidura-katearen erasoak astindu egin du garatzaileen komunitatea. Menpekotasun legitimo gisa trebeki mozorrotutako pakete gaiztoak 4.000 aldiz baino gehiago deskargatu dira, aplikazio ugariren osotasuna arriskuan jarriz eta datu sentikorrak agerian utziz. Gertakari kezkagarri honek kode irekiko ekosistemetan dauden ahultasunak nabarmentzen ditu eta hornidura-katearen segurtasun neurri sendoen premiazko beharra azpimarratzen du.

Bere muinean, NPM hornikuntza-katearen erasoak garatzaileek kode irekiko ekosisteman duten konfiantza zuen jomugan. Erasotzaileek typosquatting-a erabili zuten —pakete gaiztoek liburutegi ezagunak izenez imitatzen dituzten teknika bat— garapen-inguruneetara sartzeko. Behin integratu ondoren, pakete hauek datu sentikorrak, hala nola ingurune-aldagaiak, kanpoko zerbitzarietara kanporatzen zituzten. Eragina oso zabala da, batez ere CI/CD hodi automatizatuen menpe dauden erakundeentzat, non konpromiso txiki batek ere segurtasun-urraketa handiak eragin ditzakeen.

Eraso hau eta bere ondorioak ulertzea ezinbestekoa da garatzaileentzat, DevOps taldeentzat eta segurtasun-profesionalentzat. Artikulu honetan, erasoaren alderdi teknikoak aztertuko ditugu, nola aurkitu zen azalduko dugu eta, garrantzitsuena, etorkizuneko gertakariak saihesteko estrategia eta irtenbide erabilgarriak aztertuko ditugu ( Hodeitek-en zibersegurtasun-zerbitzuek eskaintzen dituztenak barne). Garatzaile beteranoa edo segurtasun-liderra izan, analisi sakon honek zure software-hornikuntza-katea defendatzeko informazio baliotsua emango dizu.

NPM Hornikuntza Katearen Erasoa Ulertzea

Zer da hornikuntza-katearen erasoa?

Hornikuntza-kateko eraso bat gertatzen da ziberkriminalek erakunde baten garapen- edo hedapen-hodiaren parte diren hirugarrenen zerbitzuak edo softwarea erasotzen dutenean. Helburua zuzenean sartu beharrean, erasotzaileek iturri fidagarrietan sartzen dira, hala nola kode irekiko paketeak edo eraikuntza-tresnak. NPM hornikuntza-kateko erasoa adibide arrunta da, non erasotzaileek pakete gaiztoak NPM erregistrora igo zituzten, JavaScript menpekotasunetarako asko erabiltzen den plataforma batera.

Metodo honek malwarea azkar eta isilpean hedatzea ahalbidetzen du. Behin pakete kaltetu bat instalatuta, kode gaiztoa software legitimoen pribilegio berberekin exekutatu daiteke, askotan detektatu gabe. Bektore ezkutu honek hornidura-kateko erasoak arriskutsuak eta jarraitzeko zailak bihurtzen ditu.

Erasotzaileek askotan giza akatsak ustiatzen dituzte, hala nola paketeen izenetan dauden akats ortografikoak. Kasu honetan, pakete legitimo bat instalatu nahi zuten erabiltzaileak erraz engainatu litezke antzeko izenarekin baina gaiztoa den alternatiba bat deskargatzera. Estrategia hau, typosquatting izenekoa, oso eraginkorra da kode irekiko inguruneetan.

NPM kanpainaren xehetasunak

42. Unitatearen txostenaren arabera, erasoak gutxienez 13 NPM pakete gaizto inplikatu zituen. Pakete hauek ingurune-aldagaiak bildu eta urruneko zerbitzarietara eramateko diseinatutako JavaScript kode nahasia zuten. Helburuko informazioak askotan kredentzialak, API gakoak eta bestelako konfigurazio-xehetasun sentikorrak barne hartzen zituen.

Paketeek izen eta deskribapen engainagarriak erabiltzen zituzten fidagarriak iruditzeko. Batzuek beren pareko legitimoen portaera imitatzen zuen kode funtzionala ere bazuten detekzioa saihesteko. Ikuspegi horri esker, malwarea garapen-fluxu normaletan integra daiteke, epe luzerako iraunkortasun aukerak handituz.

Erasoak arazo zabalago bat nabarmentzen du: kode irekiko paketeen egiaztapen zorrotzik eza. NPM ekosistemak garatzaileentzako tresna indartsuak eskaintzen dituen arren, ateak irekitzen ditu aktore gaiztoen gehiegikeriarako. Horregatik dira ezinbestekoak segurtasunaren monitorizazio proaktiboa eta mehatxuen adimena.

Denbora-lerroa eta eragina

Pakete gaiztoak 2024ko hasieran argitaratu ziren lehen aldiz eta hainbat astez egon ziren aktibo. Aldi horretan, 4.000 aldiz baino gehiago deskargatu ziren, milaka garapen-ingurune arriskuan jar zitzaketenak. 42. Unitatearen telemetriak erasoa identifikatzen eta aztertzen lagundu zuen, baina benetako irismena zabalagoa izan daiteke infekzio gutxiegi jakinarazi edo detektatu ez direlako.

NPM hornikuntza-katearen erasoak kaltetutako erakundeek ondorio ugari jasan ditzakete: datu-urraketak eta jabetza intelektualaren lapurreta, garapen-fluxuen etenaldiak eta ospe-kalteak. Erasoak gogorarazten digu hirugarrenen menpekotasunen ikusgarritasuna eta kontrola mantentzearen garrantzia.

Gertakariari erantzunez, NPMk pakete gaiztoak kendu eta aholkuak eman zituen. Hala ere, azken finean, garatzaileen eta erakundeen ardura da neurri prebentiboak ezartzea, hala nola mendekotasunen auditoria eta exekuzio-denboraren monitorizazioa.

NPM hornikuntza-katearen erasoan erabilitako teknikak

Typosquatting eta paketeen maskaratzearen

NPM hornikuntza-katearen eraso honetan erabilitako taktika nagusietako bat typosquatting izan zen. Liburutegi ezagunen antzeko izenekin paketeak erregistratuz —adibidez, “react-component” beharrean “react-component”—, erasotzaileek akats tipografikoez baliatzen ziren. Engainu sotil honek garatzaileak pakete okerra instalatzera engainatzen zituen.

Behin instalatuta, pakete gaizto hauek beren pareko legitimoen funtzionalitate espero zitekeena imitatzen zuten. Batzuek jatorrizko liburutegietako benetako kodea ere erabiltzen zuten susmoak ez sortzeko. Sofistikazio maila horrek zaildu egiten zuen detekzioa tresna espezializaturik gabe.

Typosquatting-aren aurka defendatzeko, erakundeek mendekotasunen egiaztapen tresna automatizatuak ezarri eta erregistro fidagarrietarako sarbidea mugatu beharko lukete. Hodeitek-ek Ahultasunen Kudeaketa Zerbitzu gisa (VMaaS) aurreratua eskaintzen du, zure kode-basean arriskutsuak diren paketeak identifikatzen lagun dezakeena.

Nahasketa eta Datuen Exfiltrazioa

Pakete gaiztoen JavaScript kodea asko nahasi zen analisia oztopatzeko. Nahasketa tekniken artean aldagaien izena aldatzea, base64 kodeketa eta funtzio-deiak txertatzea zeuden. Horrek zaildu egin zuen analisi estatikoko tresnak kargaren benetako asmoa detektatzea.

Behin exekutatu ondoren, malwareak ingurune-aldagaiak eta bestelako konfigurazio-datuak biltzen zituen, API gakoak eta kredentzialak barne. Informazio hori erasotzaileek kontrolatutako urruneko zerbitzarietara transmititzen zen, askotan HTTPS erabiliz suebaki tradizionalen detekzioa saihesteko.

Hori arintzeko, erakundeek Hurrengo Belaunaldiko Suebakiak (NGFW) zabaldu beharko lituzkete, paketeen ikuskapen sakona eta anomalien detekzioa eskaintzen dutenak. Irtenbide hauek irteerako trafiko ezohikoa identifikatu eta balizko esfiltrazio saiakerak markatu ditzakete.

CI/CD hodietan exekuzio automatizatua

Garapen-fluxu moderno askok integrazio eta hedapen jarraituen (CI/CD) kanalizazioetan oinarritzen dira, eta hauek automatikoki instalatzen dituzte mendekotasunak eta exekutatzen dute kodea. Automatizazio honek, eraginkorra den arren, segurtasun-arriskuak ere sortzen ditu behar bezala kontrolatzen ez bada.

NPM pakete gaiztoak CI/CD inguruneetan automatikoki exekutatzeko diseinatu ziren, non gizakiaren gainbegiratzea mugatua den. Horri esker, malwareak eraikuntza-artefaktuak, proba-kredentzialak eta baita hedapen-konfigurazioak ere arriskuan jar zitzakeen.

Exekuzio-denboraren monitorizazioa eta portaeraren analisiak ezartzeak —Hodeitek -en EDR/XDR/MDR zerbitzuek eskaintzen dituztenak bezalakoak— portaera anomaloak denbora errealean detektatzen lagun dezake, baita ingurune automatizatuetan ere.

Nola babestu zure erakundea NPM hornikuntza-katearen erasoetatik

Mendekotasunen auditoria ezartzea

Proiektuaren mendekotasunak aldizka ikuskatzea da hornidura-katearen erasoak saihesteko modurik eraginkorrenetako bat. npm auditoria eta hirugarrenen eskanerrak bezalako tresnek pakete zaharkituak edo ahulak identifikatu ditzakete. Hala ere, ikuskapenak jarraituak izan behar dira, ez behin bakarrik gertatu.

Zure CI/CD pipeline-an auditoria tresnak integratzeak eraikuntza bakoitza arriskuak ebaluatzen direla ziurtatzen du. Ikuspegi proaktibo honek pakete gaiztoak detektatzen laguntzen du ekoizpen inguruneetan zabaldu aurretik.

Hodeitek-en VMaaS eskaintzak eskaneatu eta txosten integralak eskaintzen ditu, mehatxu potentzialen aurretik egoteko aukera emanez.

Erabili Erregistro Pribatuak eta Paketeen Zerrenda Zuriak

Zure NPM erregistro pribatua ostatatzea zure proiektuetan erabiltzen diren paketeen gaineko kontrol handiagoa ematen dizu. Onartutako mendekotasunen zerrenda zuria mantenduz, baimenik gabeko paketeak zure ingurunean sartzea eragotzi dezakezu.

Ikuspegi honek bertsioen kontrol hobea ere ahalbidetzen du eta garatzaileek nahi gabe pakete gaiztoak edo egiaztatu gabekoak instalatzeko arriskua murrizten du. Sarbide-kontrolekin eta monitorizazioarekin konbinatuta, erregistro pribatuek lehen defentsa-lerro sendoa osatzen dute.

Hodeitek-ek zure erakundearen beharretara egokitutako garapen-ingurune seguruak ezartzen lagun zaitzake, erregistroen kudeaketa eta sarbide-politikak barne.

Monitoreatu exekuzio-denboraren portaera eta sareko trafikoa

Prebentzio neurriak ezarrita ere, exekuzio-denboraren monitorizazioa ezinbestekoa da mehatxu aktiboak detektatzeko. Portaeraren analisiak eta anomaliak detektatzeko tresnek prozesu batek modu susmagarrian jokatzen duenean identifikatu dezakete, hala nola fitxategi sentikorretara sartzen edo sareko konexioak abiarazten saiatzean.

Hodeitek-en SOC as a Service (SOCaaS) bezalako irtenbide aurreratuek mehatxuak detektatzeko eta erantzuteko gaitasunak eskaintzen dituzte 24/7. Zure azpiegitura etengabe kontrolatuz, zerbitzu hauek mehatxuak azkar identifikatu eta neutralizatu ditzakete areagotu aurretik.

Exekuzio-denboraren monitorizazioa suebakien analisiarekin eta amaiera-puntuko detekzioarekin konbinatzeak defentsa-estrategia holistiko bat eskaintzen du, gaur egungo mehatxu-paisaian ezinbestekoa dena.

Ziber-mehatxuen adimenaren eginkizuna

Mehatxu Berriak Ulertzea

Zibermehatxuen Inteligentzia (CTI) zibermehatxu berri eta egungoei buruzko informazioa bildu, aztertu eta zabaltzea dakar. NPM hornikuntza-katearen erasoaren testuinguruan, CTI funtsezkoa izan zen pakete gaiztoak identifikatzen eta haien portaera ulertzen.

CTI-k erakundeei segurtasun-jarrerari buruzko erabaki informatuak hartzen laguntzen die. Konpromiso-adierazleen (IOC), erasotzaileen taktiken eta gomendatutako neurrien inguruko testuingurua eskaintzen du.

Hodeitek-en CTI zerbitzuak informazio baliagarria eskaintzen du, zure segurtasun-azpiegituran integra daitekeena, mehatxuen inguruko kontzientzia hobetzeko.

Mehatxuen Ehiza Proaktiboa

Mehatxu-ehiza proaktiboa segurtasun-neurri erreaktiboetatik haratago doa. Alerta bat piztu aurretik konpromiso-zantzuak bilatzea dakar. Mehatxuen adimena eta portaeraren analisia aprobetxatuz, segurtasun-taldeek ezkutuko mehatxuak aurki ditzakete.

NPM gertakariaren kasuan, mehatxu-ehiza proaktiboak erregistroko jarduera ezohikoa edo sareko konexio anomaloak identifikatu ahal izan zituen, urraketa lehenago detektatzen lagunduz.

Hodeitek-en SOC eta CTI zerbitzuek batera lan egiten dute defentsa geruza proaktibo bat eskaintzeko, zure erakundeari zibererasoien aurretik egoteko ahalmena emanez.

Informazioa partekatzea eta lankidetza

Lankidetza funtsezkoa da hornidura-kateko mehatxuak arintzeko. Industria-taldeen eta segurtasun-hornitzaileen artean mehatxu-inteligentzia partekatuz, komunitateak azkarrago eta eraginkorrago erantzun diezaieke eraso berriei.

Erakundeek informazioa partekatzeko ekimenetan parte hartu eta kanpoko inteligentzia-jarioak integratu beharko lituzkete beren segurtasun-eragiketetan. Defentsa-estrategia kolektibo honek ikusgarritasuna hobetzen du eta erantzun-denborak bizkortzen ditu.

Hodeitek-ek CTI plataforma nagusiekin integrazioa eskaintzen du eta zure industriara eta arrisku-profilera egokitutako adimen pertsonalizatua partekatzea onartzen du.

Ondorioa: Hornikuntza-kateko mehatxuen aurretik egon

Duela gutxiko NPM hornikuntza-katearen erasoak gogorarazten digu garapen-tresna fidagarriak ere zibermehatxuen bektore bihur daitezkeela. Kode irekiko paketeak erasotzen dituztenean, erasotzaileek software garapen modernoaren oinarria bera ustiatzen dute. Erakundeek zibersegurtasunarekiko ikuspegi proaktibo eta geruzatua hartu behar dute beren aktiboak, bezeroak eta ospea babesteko.

Mendekotasun-ikuskaritzatik eta erregistro pribatuetatik hasi eta denbora errealeko monitorizaziora eta zibermehatxuen adimenera arte, artikulu honetan azaldutako estrategiek hornidura-kateko arriskuak arintzeko bide-orri integrala eskaintzen dute. Hodeitek-en zibersegurtasun-zerbitzuak bezalako irtenbideek neurri horiek eraginkortasunez ezartzeko beharrezko espezializazioa eta teknologia eskaintzen dituzte.

Ez itxaron gertakari baten zain zure ahultasunak agerian uzteko. Hartu neurriak gaur eta sendotu zure software hornikuntza-katea mehatxu berrien aurka.

Babestu zaitez Hodeitek-ekin gaur

Prest al zaude zure garapen-ingurunea ziurtatzeko eta zure software-hornikuntza-katea etorkizuneko mehatxuetatik babesteko? Hodeitek-ek zibersegurtasun-zerbitzu sorta osoa eskaintzen du, besteak beste:

Bisitatu gure harremanetarako orria doako kontsulta bat antolatzeko eta zure negozioarentzako egokitutako zibersegurtasun-jarrera erresilientea eraikitzen nola lagun zaitzakegun jakiteko.

Ez utzi zure hornidura-katea kasualitateari: egin lankidetza Hodeitek-ekin eta aurreratu zibermehatxuei.

Kategoria berekoa