搜索

[14559] 2019-09-07_开源软件的供应链安全吗？黑客正在利用源代码传播恶意软件

文档创建者：s7ckTeam
浏览次数：4
最后更新：2025-01-18
2019-09-07_开源软件的供应链安全吗？黑客正在利用源代码传播恶意软件 开 源 软 件 的 供 应 链 安 全 吗 ？ 黑 客 正 在 利 用 源 代 码 传 播 恶 意 软 件 k i r a z h o u   F r e e B u f   2 0 1 9 - 0 9 - 0 7 过 去 一 年 里 ， 发 生 了 一 连 串 开 源 软 件 遭 受 过 去 一 年 里 ， 发 生 了 一 连 串 开 源 软 件 遭 受 供 应 链 攻 击 的 事 件 ， 并 且 态 势 愈 演 愈 烈 。 就 在 最 近 ， 甚 至 发 现 的 事 件 ， 并 且 态 势 愈 演 愈 烈 。 就 在 最 近 ， 甚 至 发 现 2 个 独 立 个 独 立 的 后 门 漏 洞 进 入 了 数 十 万 服 务 器 管 理 员 下 载 的 库 中 。 的 后 门 漏 洞 进 入 了 数 十 万 服 务 器 管 理 员 下 载 的 库 中 。 第 一 个 曝 光 的 后 门 来 自 W e b m i n ， 这 是 一 个 安 装 量 超 过 1 0 0 万 ， 基 于 W e b 的 管 理 工 具 。 根 据 W e b m i n 开 发 人 员 J a m i e C a m e r o n 称 ， 去 年 4 月 左 右 ， 攻 击 者 破 坏 了 用 于 开 发 新 版 本 程 序 的 服 务 器 。 然 后 ， 恶 意 使 用 访 问 权 分 发 了 一 个 后 门 ， 导 致 这 个 后 门 被 下 载 超 过 9 0 0 , 0 0 0 次 ， 并 且 可 能 已 被 数 万 个 服 务 器 主 动 使 用 。 未 知 的 攻 击 者 对 名 为 p a s s w o r d _ c h a n g e . c g i 的 w e b m i n 脚 本 进 行 了 细 微 更 改 ， 此 更 改 让 攻 击 者 能 够 通 过 特 殊 U R L 发 送 命 令 ， 随 后 ， 受 感 染 的 W e b m i n 服 务 器 将 以 r o o t 权 限 执 行 该 U R L 。 从 2 0 1 8 年 6 月 到 上 周 末 ， 1 . 8 9 0 版 本 下 载 次 数 超 过 4 2 1 , 0 0 0 次 ， 并 在 默 认 情 况 下 启 用 了 后 门 。 在 版 本 1 . 9 0 ， 1 . 9 1 ， 1 . 9 1 和 1 . 9 2 上 ， 则 有 超 过 9 4 2 , 0 0 0 多 个 下 载 ， 只 有 当 管 理 员 更 改 了 “ 允 许 更 改 过 期 密 码 ” 的 默 认 设 置 时 ， 后 门 才 处 于 活 动 状 态 。 而 s o u r c e f o r g e 是 此 次 的 主 要 分 发 源 。 从 S h o d a n 搜 索 引 擎 收 集 到 的 统 计 数 据 显 示 ， 成 千 上 万 的 联 网 服 务 器 运 行 了 这 些 版 本 的 W e b m i n ， 尽 管 不 能 排 除 其 中 一 些 服 务 器 运 行 的 W e b m i n 是 由 G i t h u b 或 其 他 版 本 的 未 经 修 改 的 代 码 构 建 的 ， 不 包 括 后 门 的 来 源 。 但 造 成 的 影 响 依 旧 巨 大 。 R u b y G e m s 后 门 置 入 后 门 置 入 R u b y G e m s 存 储 库 中 的 1 1 个 库 中 出 现 了 第 二 个 后 门 。 根 据 开 发 人 员 J a n   D i n t e l 的 分 析 ， 该 后 门 允 许 攻 击 者 使 用 预 先 选 择 的 凭 据 在 受 感 染 的 服 务 器 上 远 程 执 行 命 令 。 该 恶 意 软 件 包 括 各 种 其 他 功 能 ， 包 括 将 环 境 变 量 （ 包 含 用 于 访 问 数 据 库 ， 服 务 提 供 商 和 其 他 敏 感 资 源 的 凭 据 ） 上 传 到 位 于 m i r o n a n o r u . z z z . c o m . u a 的 服 务 器 的 代 码 里 。 甚 至 于 ， R u b y g e m s 的 工 作 人 员 还 发 现 其 中 含 有 加 密 货 币 挖 掘 代 码 。 总 而 言 之 ， R u b y g e m s 的 数 据 显 示 ， 后 门 库 的 下 载 次 数 已 经 接 近 3 6 0 0 次 。 目 前 ， 尚 不 清 楚 其 余 的 R u b y G e m s 库 是 如 何 被 感 染 的 。 R u b y G e m s 工 作 人 员 也 没 有 公 开 回 复 。 利 用 信 任 利 用 信 任 W e b m i n 和 R u b y G e m s 库 的 结 果 都 是 最 新 供 应 链 攻 击 针 对 开 源 软 件 的 表 现 。 大 多 数 人 从 已 知 开 发 人 员 的 官 方 网 站 安 装 软 件 或 更 新 的 时 候 ， 不 会 过 多 思 考 。 因 此 ， 在 过 去 几 年 ， 黑 客 越 来 越 大 多 数 人 从 已 知 开 发 人 员 的 官 方 网 站 安 装 软 件 或 更 新 的 时 候 ， 不 会 过 多 思 考 。 因 此 ， 在 过 去 几 年 ， 黑 客 越 来 越 多 地 利 用 这 种 信 任 ， 通 过 源 代 码 来 传 播 恶 意 软 件 。 多 地 利 用 这 种 信 任 ， 通 过 源 代 码 来 传 播 恶 意 软 件 。 去 年 1 0 月 ， 发 生 了 一 连 串 的 攻 击 事 件 ， 仅 在 一 周 之 内 就 发 生 了 2 起 针 对 开 源 项 目 的 供 应 链 攻 击 。 第 一 个 是 v e s t a p p 控 制 面 板 接 口 ， 另 一 个 是 名 为 “ C o l o u r a m a ” 的 软 件 包 ， 它 被 放 入 了 官 方 P y t h o n 存 储 库 。 一 个 月 后 ， 又 出 现 了 一 个 旨 在 从 比 特 币 钱 包 中 窃 取 资 金 的 恶 意 代 码 ， 拥 有 2 0 0 万 下 载 量 ， 被 财 富 5 0 0 强 企 业 和 小 型 初 创 企 业 使 用 。 负 责 后 台 软 件 的 开 源 项 目 经 理 说 ， 该 恶 意 代 码 是 针 对 使 用 C o p a y 开 发 的 比 特 币 钱 包 的 人 而 设 计 的 ， 而 C o p a y 只 是 将 该 恶 意 软 件 的 受 害 者 之 一 。 去 年 三 月 ， 研 究 人 员 发 现 另 一 个 叫 做 b o o t s t r a p - s a s s w a 的 的 R u b y G e m s 库 也 被 置 入 了 后 门 。 历 史 是 惊 人 地 相 似 ， 上 个 月 初 ， 一 个 叫 做 s t r o n g _ p a s s w o r d . 的 R u b y G e m s 库 也 发 生 了 类 似 感 染 。 就 像 最 近 发 现 的 感 染 1 1 个 R u b y G e m 项 目 的 事 件 一 样 ， b o o t s t r a p - s a s s ， s t r o n g _ p a s s w o r d 后 门 使 用 浏 览 器 c o o k i e 功 能 ， 让 攻 击 者 能 够 在 受 感 染 的 服 务 器 上 执 行 代 码 。 s t r o n g _ p a s s w o r d 后 门 还 与 s m i l e y . z z z . c o m . u a 域 名 进 行 了 互 动 ， 而 这 个 域 名 又 与 最 近 攻 击 中 使 用 的 m i r o n a n o r u . z z z . c o m . u a 非 常 相 似 。
供 应 链 攻 击 更 供 应 链 攻 击 更 “ 容 易 容 易 ” 了 了 事 实 上 ， 除 了 开 源 软 件 ， 闭 源 软 件 也 属 于 供 应 链 攻 击 的 牺 牲 品 。 计 算 机 制 造 商 华 硕 两 次 被 入 侵 ， 恶 意 更 新 税 务 会 计 软 件 M . E . D o c 导 致 2 0 1 7 年 N o t P e t y a   爆 发 ， 以 及 同 年 感 染 了 C C l e a n e r 的 另 一 个 后 门 ， 这 些 事 件 都 可 以 证 明 。 为 什 么 针 对 开 源 软 件 / 项 目 的 供 应 链 攻 击 似 乎 更 容 易 ？ 因 为 很 多 公 司 不 会 在 其 庞 大 的 贡 献 者 群 体 中 进 行 多 因 素 身 份 验 证 和 代 码 签 名 。 A t r e d i s   P a r t n e r s 研 发 副 总 裁 H D   M o o r e 表 示 ： “ 最 近 的 发 现 表 明 ， 这 些 问 题 越 来 越 频 繁 ， 围 绕 软 件 包 发 布 和 管 理 的 安 全 生 态 系 统 没 有 得 到 足 够 的 改 善 。 可 怕 的 是 ， 这 些 实 例 中 的 每 一 个 都 可 能 导 致 更 多 的 开 发 人 员 帐 户 受 到 攻 击 （ 通 过 可 怕 的 是 ， 这 些 实 例 中 的 每 一 个 都 可 能 导 致 更 多 的 开 发 人 员 帐 户 受 到 攻 击 （ 通 过 捕 获 的 密 码 、 授 权 令 牌 、 捕 获 的 密 码 、 授 权 令 牌 、 A P I 密 钥 和 密 钥 和 S S H 密 钥 ） 。 攻 击 者 可 能 有 足 够 的 凭 据 可 以 反 复 执 行 此 操 作 ， 直 到 所 有 凭 密 钥 ） 。 攻 击 者 可 能 有 足 够 的 凭 据 可 以 反 复 执 行 此 操 作 ， 直 到 所 有 凭 据 都 重 置 并 放 置 了 适 当 的 据 都 重 置 并 放 置 了 适 当 的 M F A 和 签 名 。 和 签 名 。 ” M o o r e 认 为 ， 开 源 供 应 链 感 染 的 影 响 通 常 难 以 衡 量 ， 因 为 后 门 应 用 程 序 可 以 被 另 一 个 软 件 包 作 为 上 游 依 赖 项 包 含 在 内 。 而 默 认 情 况 下 ， 依 赖 管 理 工 具 推 送 最 新 软 件 包 的 方 式 ， 使 得 在 后 端 依 赖 的 情 况 下 成 功 进 行 攻 击 的 可 能 性 更 大 。 而 开 源 攻 击 也 会 造 成 很 大 的 损 失 ， 因 为 它 们 会 影 响 用 于 执 行 电 子 邮 件 和 提 供 网 页 等 功 能 的 服 务 器 。 一 旦 服 务 器 安 装 了 一 个 后 门 应 用 程 序 ， 唯 一 的 办 法 就 是 执 行 一 个 完 整 的 重 建 ， 但 这 个 任 务 非 常 繁 琐 艰 巨 ，   在 收 到 恶 意 篡 改 包 的 1 0 0 0 0 0 个 或 更 多 系 统 中 肯 定 会 有 很 多 部 分 被 忽 略 导 致 重 建 困 难 。 O p e n   C r y p t o   A u d i t 项 目 主 管 K e n n   W h i t e 说 ： “ 如 果 不 彻 底 重 装 操 作 系 统 和 应 用 程 序 ， 以 及 轮 换 密 钥 和 凭 证 ， 系 统 将 有 很 大 的 风 险 继 续 受 到 威 胁 ， 但 是 运 营 商 认 为 他 们 可 以 通 过 文 件 差 异 手 动 检 查 系 统 ， 并 自 己 进 行 有 效 评 估 。 但 不 得 不 说 ， 这 太 天 真 了 。 ” * 参 考 来 源 ： 参 考 来 源 ： a r s t e c h n i c a ， ， k i r a z h o u 编 译 整 理 ， 转 载 请 注 明 来 自 编 译 整 理 ， 转 载 请 注 明 来 自   F r e e B u f . C O M 精 彩 推 荐 精 彩 推 荐
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理