Tropidoor Backdoor: Kibernetinės grėsmės, nukreiptos į kūrėjus

Kibernetinio saugumo tyrėjai atskleidė užpakalinių durų kenkėjišką programą, žinomą kaip Tropidoor, kuri buvo susieta su sudėtinga kibernetinio šnipinėjimo kampanija, skirta kūrėjams. Ši kenkėjiška programa, priskiriama Šiaurės Korėjos grėsmių veikėjams , yra platesnės operacijos, kuri naudoja kenkėjiškus npm paketus, siekiant pažeisti kūrėjų aplinką, dalis. „Tropidoor“ mechanikos ir pasekmių supratimas yra labai svarbus kibernetinio saugumo specialistams ir kūrėjams.

Kas yra Tropidoor?

„Tropidoor“ yra „Windows“ pagrįstos užpakalinės durys, veikiančios per pradinį atsisiuntimo programą, leidžiančią vykdyti komandas iš nuotolinio komandų ir valdymo (C2) serverio. Suaktyvinta kenkėjiška programa leidžia užpuolikams išfiltruoti failus, nuskaityti sistemos ir disko detales, manipuliuoti procesais, užfiksuoti ekrano kopijas ir net ištrinti arba ištrinti failus, perrašant juos nepageidaujamais duomenimis. Jis užtikrina patvarumą naudodamas „Windows“ programas, tokias kaip užduočių planavimas (schtasks), registro modifikacijos ir tinklo komandos.

Ši kenkėjiška programa buvo aptikta analizuojant įdarbinimo tematikos sukčiavimo kampaniją. Kampanija buvo skirta Pietų Korėjos kūrėjams, naudojantiems nesąžiningus kvietimus į darbo pokalbį, o tai buvo taktika, skirta privilioti aukas atsisiųsti užkrėstus npm paketus. Šiuose paketuose buvo kenkėjiška programa „BeaverTail“, žinoma „JavaScript“ pagrindu veikianti informacijos vagilė, kuri vėliau įdiegė „Tropidoor“ pažeistose sistemose.

Kaip Tropidoor plinta?

Užpuolikai naudojo npm paketų registrą kaip platinimo vektorių, įvesdami kenkėjišką kodą į iš pažiūros teisėtas kūrėjo paslaugas ir derinimo įrankius. Kai kurie iš šių paketų apima:

• tuščias-masyvo-validatorius
• twitterapija
• dev-debugger-vite
• knarkimas-logas
• šerdis-pino
• renginiai-utils
• icloud-cod
• cln-logeris
• mazgas-užsikimšimas
• konsoliduoti žurnalą
• konsoliduoti-logger

Šie paketai buvo kartu atsisiųsti tūkstančius kartų prieš juos pašalinant, o tai pabrėžia plačiai paplitusią kampanijos pobūdį. Pagrindinis infekcijos strategijos elementas buvo kai kurių iš šių paketų susiejimas su saugyklomis, priglobtomis Bitbucket, o ne dažniau naudojamu GitHub, dar labiau paneigiant jų kilmę ir tikslą.

Kokios yra Tropidoor pasekmės?

Tropidoor atsiradimas kelia keletą rimtų pavojų, ypač programinės įrangos kūrėjams ir organizacijoms, kurios priklauso nuo atvirojo kodo priklausomybių. Štai pagrindiniai padariniai:

1. Grėsmė programinės įrangos tiekimo grandinėms

Npm paketų įsiskverbimas pabrėžia šiuolaikinių programinės įrangos tiekimo grandinių pažeidžiamumą. Užpuolikai išnaudoja pasitikėjimą plačiai naudojamais kūrimo įrankiais, kad platintų kenkėjiškas programas, kurios vėliau gali plisti įmonės aplinkoje.

2. Ilgalaikė grėsmės veikėjų prieiga

Tropidoor suteikia nuolatinę prieigą prie užkrėstų sistemų. Kontroliuodami pažeistas mašinas, užpuolikai gali vykdyti ilgalaikį šnipinėjimą, rinkti neskelbtiną informaciją ir gali sutrikdyti operacijas.

3. Duomenų vagystė ir sistemos manipuliavimas

Turėdamas galimybę užfiksuoti ekrano kopijas, sudaryti failų sąrašą ir išfiltruoti neskelbtinus duomenis, „Tropidoor“ kelia didelę duomenų saugumo riziką. Be to, jos galimybė negrįžtamai ištrinti failus gali sugadinti sistemą arba trukdyti atlikti teismo ekspertizę.

4. Vengimo būdai

Kad būtų išvengta aptikimo, kenkėjiška programa naudoja pažangius užmaskavimo metodus, įskaitant šešioliktainę eilučių kodavimą ir dinaminį JavaScript vykdymą naudojant eval(). Dėl to automatizuotoms saugos priemonėms sunku nustatyti ir neutralizuoti grėsmę ankstyvose jos stadijose.

Rizikos mažinimas

Organizacijos ir kūrėjai gali imtis įvairių veiksmų, kad apsisaugotų nuo Tropidoor ir panašių grėsmių:

• Patikrinkite npm paketus: prieš diegdami npm paketą patikrinkite jo šaltinį, prižiūrėtojus ir kodo vientisumą. Būkite atsargūs dėl neseniai paskelbtų arba prastai dokumentuotų paketų.
• Stebėkite tinklo srautą: stebėkite įtartinus siunčiamus ryšius, kurie gali reikšti, kad kenkėjiška programa pasiekia C2 serverį.
• Naudokite galutinio taško apsaugos sprendimus: įdiekite saugos įrankius, kurie gali aptikti ir blokuoti nuotolinės prieigos Trojos arklius (RAT) ir kitas kenkėjiškas programas.
• Mokykite darbuotojus: kūrėjams ir IT darbuotojams skirti mokymai apie sukčiavimo taktiką ir programinės įrangos tiekimo grandinės saugumą gali padėti išvengti socialinės inžinerijos atakų.
• Apriboti teises: apribokite kūrėjų darbo vietų administravimo prieigą, kad sumažintumėte galimo kompromiso poveikį.

Paskutinės mintys

Tropidoor atradimas išryškina besikeičiančią valstybės remiamų kibernetinių veikėjų taktiką, nukreiptą į kūrėjus ir programinės įrangos tiekimo grandines. Įterpdami kenkėjišką kodą į npm paketus ir naudodami socialinės inžinerijos taktiką, užpuolikai gali įsitvirtinti kritinėse kūrimo aplinkose. Organizacijos turi išlikti budrios, taikyti patikimą saugumo praktiką ir nuolat stebėti kylančias grėsmes, kad sumažintų sudėtingų kenkėjiškų programų kampanijų, tokių kaip Tropidoor, keliamą riziką.