Hackeři proměnili důvěryhodný Rust crate v systém pro doručování malwaru

Oblíbený balíček pro Rust se stal nejnovější obětí rostoucího trendu útoků na dodavatelské řetězce softwaru. Podle zpráv od The Register hackeři kompromitovali účet správce za arrayref, hojně používaný Rust crate, a nahráli škodlivé aktualizace určené ke krádeži přihlašovacích údajů vývojářů. Tento crate, stažený přibližně 245 milionůkrát, je přesně tím typem základní, snadno přehlédnutelné závislosti, který činí tento styl útoku tak účinným.

Místo přímého cílení na jednotlivé vývojáře šli útočníci po dodavatelském řetězci softwaru samotném. Získáním kontroly nad účtem správce dokázali propašovat infostealer malware do toho, co vypadalo jako běžná aktualizace. Každý, kdo si kompromitovanou verzi stáhl do svého sestavení, aniž by to věděl, proměnil své vlastní vývojové prostředí v distribuční bod pro kód kradoucí přihlašovací údaje.

Proč tento útok fungoval tak dobře

Ekosystém Rustu, stejně jako většina moderních programovacích prostředí, se silně spoléhá na sdílené knihovny kódu zvané crates. Vývojáři jen zřídka auditují každou závislost řádek po řádku. Místo toho důvěřují, že balíček s miliony stažení a zavedeným správcem byl již komunitou prověřen. Právě této důvěry útočníci využívají.

Tento incident zapadá do vzorce toho, co je známé jako útok na dodavatelský řetězec, kdy útočníci cílí na slabší článek, v tomto případě jediný účet správce, aby dosáhli na mnohem větší skupinu obětí dále v řetězci. Protože je arrayref vložen do mnoha dalších projektů, jediná kompromitovaná aktualizace mohla mít dopad na nespočet kódových základen, než si někdo všiml, že je něco špatně.

To, co činí tento případ pozoruhodným, je konkrétní náklad. Místo pouhého vložení zadních vrátek nebo skriptu na těžbu kryptoměn byl škodlivý update navržen tak, aby přímo sklízel přihlašovací údaje vývojářů z infikovaných systémů. To je významná eskalace. Ukradené přihlašovací údaje vývojářů lze použít k přístupu do repozitářů zdrojového kódu, cloudové infrastruktury, registrů balíčků a dalších vysoce hodnotných systémů, což může umožnit další útoky daleko za původní obětí.

Soukromí v sázce pro vývojáře

Většina diskusí o útocích na dodavatelské řetězce softwaru se zaměřuje na technické následky: rozbitá sestavení, kompromitované produkční systémy, nouzové záplaty. Ale je tu rozměr soukromí, který si zaslouží více pozornosti.

Vývojáři ukládají na svých počítačích obrovské množství citlivých informací: API klíče, SSH klíče, tokeny cloudových služeb a přihlašovací údaje k interním nástrojům. Infostealer navržený tak, aby běžel během běžného procesu sestavení, má přímý přístup přesně k tomuto druhu dat. Na rozdíl od phishingového e-mailu, kterého by si opatrný vývojář mohl všimnout, se škodlivá závislost spouští tiše jako součást normálního, očekávaného chování. Není zde žádný podezřelý odkaz ke kliknutí ani žádná zjevná červená vlajka, jen aktualizace balíčku, která vypadá jako kterákoli jiná.

Právě to činí útoky na otravu crate a balíčků obzvláště znepokojivé z hlediska soukromí. Oběti často nemají tušení, že jejich přihlašovací údaje byly odhaleny, dokud nejsou ukradená data použita jinde, ať už jde o neoprávněný přístup k firemnímu cloudovému prostředí nebo další kompromitaci jiných open source projektů, které vývojář spravuje.

Co to znamená pro vás

Pokud jste vývojář v Rustu nebo pracujete s jakýmkoli jazykem, který se spoléhá na open source balíčkové ekosystémy, tento incident je připomínkou, že důvěra v popularitu balíčku není totéž jako důvěra v jeho aktuální zabezpečení. Crate stažený 245 milionůkrát může být stále kompromitován, pokud dojde k převzetí jediného účtu správce.

Praktické kroky, které stojí za zvážení, zahrnují připnutí verzí závislostí namísto automatického stahování nejnovějšího vydání, kontrolu changelogů před upgradem kritických balíčků a používání nástrojů, které skenují závislosti na známé škodlivé chování. Povolení vícefaktorové autentizace na všech účtech spojených s publikováním balíčků a pravidelné rotace přihlašovacích údajů také snižuje dosah exploze, pokud je účet někdy kompromitován.

Organizace, které silně spoléhají na open source závislosti, by také měly zvážit udržování interního inventáře používaných balíčků a monitorování neobvyklé aktivity aktualizací, zejména u balíčků s nadměrným vlivem napříč mnoha projekty.

Zůstat napřed před hrozbami dodavatelského řetězce

Tento útok na arrayref pravděpodobně nebude naposledy, co hackeři cílí na open source ekosystém, aby kradli přihlašovací údaje vývojářů. Jak se dodavatelské řetězce softwaru stávají stále propojenějšími, jediný kompromitovaný účet správce může mít následky daleko za jedním projektem.

Pro vývojáře není ponaučením opustit open source nástroje, ale přistupovat ke správě závislostí se stejnou pečlivostí, jaká je aplikována na jakýkoli jiný bezpečnostně citlivý systém. Kontrolujte aktualizace před jejich sloučením, omezte oprávnění udělená sestavovacím prostředím a předpokládejte, že i důvěryhodné balíčky s vysokým počtem stažení se mohou stát vektory útoku. Být informován o incidentech, jako je tento, je jedním z nejjednodušších způsobů, jak včas rozpoznat varovné signály a chránit jak své přihlašovací údaje, tak systémy, které pomáháte budovat.