هکرهای کره شمالی در یک حمله زنجیره تامین که هفتهها برای راهاندازی آن زمان برد، Axios را ربودند
یک پروژه پرکاربرد که به یک بردار حمله سایبری تبدیل شد
یک عملیات سایبری کره شمالی به طور موقت Axios، یکی از پرکاربردترین پروژههای متنباز وب را، در حملهای در تاریخ ۳۱ مارس که به نظر میرسد هفتهها در حال آمادهسازی بوده، ربود. این نفوذ نشان میدهد که چگونه هکرهای تحت حمایت دولت به طور فزایندهای زیرساختهای نرمافزاری مورد اعتماد را هدف قرار میدهند، جایی که یک نقض امنیتی میتواند هزاران سیستم را تحت تأثیر قرار دهد.
Axios یک کتابخانه JavaScript محبوب است که توسط توسعهدهندگان برای اتصال برنامهها به اینترنت استفاده میشود. از آنجایی که این کتابخانه در بسیاری از ساختارهای نرمافزاری قرار دارد، نفوذ به این پروژه میتواند پیامدهایی بسیار فراتر از خود پروژه داشته باشد. در این مورد، بهروزرسانیهای مخرب تنها حدود سه ساعت فعال بودند و سپس حذف شدند، اما این بازه زمانی ممکن است برای آلوده کردن هزاران سیستم کافی بوده باشد.
این حمله در یک گزارش پس از حادثه توسط Jason Saayman، که نگهدارنده پروژه است و جدول زمانی نفوذ را تشریح کرد، مستند شده است. به گفته Saayman، مهاجمان حدود دو هفته قبل از اینکه کنترل رایانه او را به دست آورند و از آن برای انتشار کد مخرب استفاده کنند، او را هدف قرار دادند.
یک کلاهبرداری طولانیمدت بر پایه اعتماد
این عملیات کمتر به نیروی بیرحمانه و بیشتر به صبر متکی بود. Saayman گفت که مهاجمان خود را به عنوان یک شرکت واقعی جا زدند، یک فضای کاری Slack متقاعدکننده ایجاد کردند و آن را با پروفایلهای کارمندان جعلی پر کردند تا این فریب قانونی به نظر برسد. سپس او را به یک جلسه وب دعوت کردند که از او خواست نرمافزاری مخرب را که به عنوان یک بهروزرسانی لازم برای پیوستن به تماس پنهان شده بود، دانلود کند.
Saayman گفت که این طعمه با تکنیکی مطابقت داشت که قبلاً با هکرهای کره شمالی مرتبط بوده و توسط محققان امنیتی Google شناسایی شده است: یک رویکرد مهندسی اجتماعی که قربانیان را متقاعد میکند نرمافزاری را نصب کنند که به مهاجمان دسترسی از راه دور میدهد. در این مورد، به نظر میرسد این دسترسی کلید انتشار نسخههای مخرب Axios بوده است.
این حادثه نشان میدهد که چرا نگهدارندگان پروژههای متنباز به چنین اهداف باارزشی تبدیل شدهاند. پروژههای محبوب اغلب توسط تیمهای کوچک یا حتی یک توسعهدهنده واحد نگهداری میشوند، با این حال میتوانند در بیشمار برنامه و سرویس گنجانده شوند. این امر دستگاههای شخصی نگهدارندگان را به یک نقطه ورودی جذاب برای مهاجمانی تبدیل میکند که به دنبال نفوذ به نرمافزار در مقیاس وسیع هستند.
خطر بسیار فراتر از یک پروژه است
از حریم خصوصی خود با Doppler VPN محافظت کنید
۳ روز استفاده رایگان. بدون ثبتنام. بدون گزارش.
بستههای مخرب Axios به سرعت حذف شدند، اما نه قبل از اینکه فرصت انتشار پیدا کنند. هر سیستمی که یکی از نسخههای آلوده را در طول پنجره کوتاه قرار گرفتن در معرض خطر نصب کرده باشد، ممکن است در برابر سرقت کلیدهای خصوصی، اعتبارنامهها و رمزهای عبور ذخیره شده در آن دستگاه آسیبپذیر بوده باشد. این اسرار دزدیده شده سپس میتوانند برای نفوذ عمیقتر به سایر سیستمها و خدمات استفاده شوند و یک حادثه زنجیره تامین نرمافزار را به یک نقض گستردهتر تبدیل کنند.
این احتمال چیزی است که این نوع حمله را بسیار نگرانکننده میکند. قربانی فوری ممکن است لپتاپ یک توسعهدهنده یا یک مخزن بسته واحد باشد، اما هدف نهایی میتواند بسیار گستردهتر باشد: کاربران و سازمانهایی که به این پروژه به عنوان بخشی از پشته نرمافزاری خود اعتماد دارند.
حادثه Axios همچنین با یک الگوی گستردهتر مطابقت دارد. هکرهای کره شمالی همچنان از فعالترین تهدیدات سایبری در اینترنت هستند و بارها به عملیاتی مرتبط شدهاند که مهندسی اجتماعی، سرقت اعتبارنامهها و بدافزارهای دسترسی از راه دور را ترکیب میکنند. کمپینهای آنها اغلب مرز بین جاسوسی و جرایم با انگیزه مالی را محو میکنند، و سرقت ارزهای دیجیتال اغلب بخشی از این ترکیب است.
یک سناریوی آشنا، یک هشدار بزرگتر
آنچه این نفوذ اخیر را برجسته میکند، نه تنها هدف، بلکه روش سیستماتیکی است که طی آن رخ داد. مهاجمان صرفاً از یک نقص فنی در کد پروژه سوءاستفاده نکردند. آنها زمان زیادی را صرف ساختن یک هویت قابل باور، جلب اعتماد نگهدارنده و در نهایت به دست آوردن دسترسی به ماشینی کردند که برای انتشار بهروزرسانیهای رسمی استفاده میشد.
این رویکرد یک واقعیت دشوار را برای اکوسیستمهای متنباز برجسته میکند: امنیت نرمافزارهای پرکاربرد نه تنها به بازبینی کد و نظارت بر بستهها بستگی دارد، بلکه به دفاع شخصی افرادی که کد را نگهداری میکنند نیز وابسته است. همانطور که هکرهای تحت حمایت دولت و گروههای جنایتکار به هدف قرار دادن این نگهدارندگان ادامه میدهند، خود زنجیره تامین به خط مقدم درگیریهای سایبری تبدیل میشود.
Saayman بلافاصله به سوالات بعدی در مورد این حادثه پاسخ نداد. دامنه کامل نفوذ هنوز در حال ارزیابی است، اما درس آن از قبل روشن است: هنگامی که نرمافزار مورد اعتماد ربوده میشود، شعاع انفجار میتواند بسیار فراتر از پروژهای باشد که مورد نفوذ قرار گرفته است.
منابع: