Vad är en attack mot leveranskedjan och varför fungerar den?

Det är när angripare komprometterar en betrodd källa, som ett legitimt öppen källkods-paket eller en leverantörs uppdateringskanal, istället för att rikta in sig på tusentals användare individuellt. Den fungerar eftersom människor litar på att uppdateringar kommer från den förväntade platsen, ser normala ut och ofta installeras automatiskt utan mänsklig granskning.

Varför är VPN-användare särskilt utsatta för malware i leveranskedjan?

En VPN-klient, ett webbläsartillägg eller en lösenordshanterare ligger nära dina inloggningsuppgifter och din trafik, så om installationsprogrammet manipuleras blir verktyget du valde för skydd vägen in.

Vad lär TrueConf-intrånget oss om att ladda ner programvara?

Ett trojaniserat installationsprogram ser ut som det äkta eftersom det levereras genom leverantörens egen distributionsväg, så en användare som laddar ner från den officiella källan kan ändå sluta med en komprometterad dator. Det är därför rådet har skiftat från att bara "ladda ner från den officiella webbplatsen" till att även bekräfta filens integritet.

Verifiera programuppdateringar: Lärdomar från TrueConf-malware i leveranskedjan

Q: Varför är det inte längre tillräckligt att hålla programvaran uppdaterad?

En växande våg av attacker mot leveranskedjan visar att själva uppdateringen kan vara hotet, eftersom angripare komprometterar legitima öppen källkods-paket och utnyttjar betrodda uppdateringskanaler för att leverera malware som stjäl inloggningsuppgifter. Rådet att uppdatera gäller fortfarande, men att verifiera uppdateringar är nu en praktisk nödvändighet.

Q: Vad riktar angripare in sig på i dessa attacker mot leveranskedjan?

Nyttolasten i attackerna som beskrivs är malware som stjäl inloggningsuppgifter, vilket riktar in sig på sparade lösenord, sessionsdata och andra inloggningsuppgifter. När de väl har stulits kan dessa uppgifter användas för att nå e-post, arbetssystem och molnkonton.

I åratal var rådet enkelt: håll din programvara uppdaterad. Det rådet gäller fortfarande, men en växande våg av attacker mot leveranskedjan visar att själva uppdateringen kan vara hotet. Angripare komprometterar legitima öppen källkods-paket och utnyttjar betrodda uppdateringskanaler för att leverera malware som stjäl inloggningsuppgifter. För alla som förlitar sig på automatiska uppdateringar och tredjepartsberoenden är förmågan att verifiera programuppdateringar och upptäcka malware i leveranskedjan nu en praktisk nödvändighet, inte en expert-hobby.

Detta är särskilt viktigt för VPN-användare. En VPN-klient, ett webbläsartillägg eller en lösenordshanterare ligger nära dina inloggningsuppgifter och din trafik. Om installationsprogrammet manipuleras blir verktyget du valde för skydd vägen in.

Hur angripare förvandlar betrodda uppdateringar till stöld av inloggningsuppgifter

Logiken bakom en attack mot leveranskedjan är att det är enklare att kompromettera en betrodd källa än att rikta in sig på tusentals människor individuellt. Om en angripare kan få in skadlig kod i ett legitimt öppen källkods-paket, eller i den kanal en leverantör använder för att distribuera uppdateringar, gör varje användare som hämtar den uppdateringen jobbet åt dem.

Detta fungerar på grund av hur mycket tillit vi lägger i processen. Ditt operativsystem eller din app säger att en uppdatering är tillgänglig, den kommer från den förväntade platsen och den ser normal ut. Många ifrågasätter aldrig detta, och många installationer installerar uppdateringar automatiskt utan någon mänsklig granskning alls.

Nyttolasten i attackerna som beskrivs i källrapporteringen är malware som stjäl inloggningsuppgifter. Det innebär att sparade lösenord, sessionsdata och andra inloggningsuppgifter är målet. När de väl har stulits kan dessa uppgifter användas för att nå e-post, arbetssystem och molnkonton, ofta utan att någon ytterligare malware behövs.

Tredjepartsberoenden lägger till ytterligare ett lager. Modern programvara är sammansatt av många öppen källkods-komponenter, så en kompromettering i ett litet paket kan färdas in i större applikationer som inkluderar det. Användare av slutprodukten kanske aldrig vet att komponenten finns.

Vad TrueConf-intrånget visar om trojaniserade installationsprogram

TrueConf-incidenten är ett konkret exempel på detta mönster. TrueConf, en plattform för videokonferenser, blev den senaste programvaruleverantören att falla offer för en kompromettering av leveranskedjan, enligt rapportering från BleepingComputer. Vår bevakning av TrueConf-intrånget och dess trojaniserade installationsprogram beskriver hur angripare tog sig in i leverantörens miljö.

Den viktigaste lärdomen handlar inte om ett företag. Ett trojaniserat installationsprogram ser ut som det äkta eftersom det levereras genom leverantörens egen distributionsväg. En användare som laddar ner det från den officiella källan, gör allt rätt enligt konventionella standarder och ändå slutar med en komprometterad dator har svikits av tillitsmodellen, inte av sin egen oaktsamhet.

Det är därför rådet måste skifta från enbart "ladda ner från den officiella webbplatsen" till "ladda ner från den officiella webbplatsen och bekräfta att filen är vad leverantören avsåg att publicera." De två kontrollerna skyddar mot olika problem.

Hur man verifierar en programuppdatering innan installation

Du behöver inte vara utvecklare för att lägga till några verifieringsvanor. Dessa steg är i grov ordning efter ansträngning.

Kontrollera den digitala signaturen. I Windows högerklickar du på ett installationsprogram, öppnar Egenskaper och tittar på fliken Digitala signaturer. I macOS kontrollerar systemet signering och notarisering när du öppnar en app. Ett saknat eller oväntat utgivarnamn är en anledning att stoppa.
Jämför kontrollsummor. Många leverantörer publicerar en SHA-256-hash för varje utgåva. Beräkna hashen för din nedladdade fil och jämför den med det publicerade värdet. Hitta helst det värdet på en plats separat från nedladdningslänken, till exempel i versionsinformation eller ett signerat meddelande. Om båda finns på samma komprometterade server bevisar en matchning inte mycket.
Använd signerade paket och pakethanterare. Seriösa pakethanterare verifierar signaturer åt dig. Föredra dem framför manuellt nedladdade installationsprogram när det är möjligt.
Lås och granska beroenden om du bygger programvara. Om du kör skript eller projekt som hämtar in öppen källkods-paket, lås versioner istället för att acceptera det senaste, och granska ändringar innan du uppgraderar.
Fördröj icke-brådskande uppdateringar något. Att vänta en kort stund efter en utgåva ger communityn och leverantörer en chans att flagga en komprometterad version. Kritiska säkerhetsuppdateringar är undantaget, så använd omdöme.

Ingen enskild kontroll är perfekt. Signaturer kan missbrukas om en leverantörs signeringsprocess komprometteras, och kontrollsummor hjälper bara om du får dem från en oberoende plats. Att lägga kontrollerna i lager är vad som höjer ribban.

Varningstecken och säkrare installationsvanor för VPN-användare

Eftersom VPN-programvara hanterar känslig trafik förtjänar den en striktare rutin än en vanlig app.

Se upp för dessa varningstecken:

En uppdateringsprompt som dyker upp oväntat, utanför appens normala uppdateringsmekanism
En nedladdningslänk som skickas via e-post, chatt eller en popup istället för att nås via leverantörens egen webbplats eller din appbutik
Ett installationsprogram som begär fler behörigheter än tidigare versioner gjorde
En fil med saknad signatur, ett annat utgivarnamn eller en hash som inte matchar
Udda beteende efter en uppdatering, såsom obekanta processer, nya webbläsartillägg eller oväntade inloggningsvarningar

Bygg säkrare vanor:

Installera VPN-klienter från leverantörens officiella webbplats eller din plattforms appbutik, och bokmärk den adressen istället för att söka varje gång.
Aktivera multifaktorautentisering för viktiga konton, så att ett stulet lösenord ensamt inte räcker.
Använd en lösenordshanterare och undvik att spara inloggningsuppgifter i webbläsare du inte fullt ut litar på, vilket begränsar vad en stöldprogramvara kan komma åt.
Håll en separat, minimal uppsättning programvara på enheter som används för känsligt arbete.
Om du misstänker ett komprometterat installationsprogram, koppla bort från nätverket, ändra dina lösenord från en ren enhet och återkalla aktiva sessioner.

Vad detta innebär för dig

Automatiska uppdateringar är inte fienden. För de flesta är det fortfarande säkrare att hålla sig uppdaterad än att ligga efter. Det som förändras är att uppdateringar inte längre förtjänar blind tillit, särskilt för programvara som berör dina inloggningsuppgifter eller din nätverkstrafik. TrueConf-fallet, som tas upp i vår rapport om hur trojaniserade installationsprogram gömmer bakdörrar, visar att även en välkänd leverantörs distributionsväg kan vändas mot dess användare.

Du kan minska din exponering med små, upprepningsbara steg istället för ständig oro: bekräfta signaturer, jämför kontrollsummor från en oberoende källa och använd konton skyddade med multifaktorautentisering så att ett stulet lösenord inte låser upp allt.

Viktiga slutsatser

Angripare komprometterar legitima öppen källkods-paket och betrodda uppdateringskanaler för att leverera malware som stjäl inloggningsuppgifter.
Ett trojaniserat installationsprogram kan komma från den officiella källan, så härkomst ensamt är inte bevis på säkerhet.
För att verifiera programuppdateringar och upptäcka malware i leveranskedjan, kontrollera signaturer, jämför oberoende publicerade kontrollsummor och föredra signerade pakethanterare.
Behandla oväntade uppdateringspromptar, felaktiga hashar och ovanligt beteende efter uppdateringar som varningstecken.
Skydda dina konton med multifaktorautentisering och en lösenordshanterare för att begränsa skadorna om något slinker igenom.

Börja med att välja en vana den här veckan, till exempel att kontrollera signaturen vid din nästa uppdatering av VPN eller säkerhetsverktyg. Läs sedan vår bevakning av TrueConf-intrånget med trojaniserade installationsprogram för att se hur den här typen av attack utspelar sig i verkligheten.