TẤN CÔNG CHUỖI CUNG ỨNG

Các nhà nghiên cứu bảo mật vừa phát hiện một làn sóng tấn công chuỗi cung ứng mới mang tên Mini Shai-Hulud. Chiến dịch này đã chiếm quyền kiểm soát tài khoản quản trị viên để phát tán mã độc thông qua hàng trăm gói thư viện npm thuộc hệ sinh thái @antv và các React component phổ biến khác.

Quy mô và các mục tiêu bị ảnh hưởng

Kẻ tấn công đã sử dụng tài khoản maintainer bị chiếm đoạt để đẩy 639 phiên bản độc hại lên 323 gói npm khác nhau. Trong đó, có 279 gói thuộc không gian tên @antv và nhiều thư viện phổ biến khác như:

@antv/g2, g6, x6
Thư viện visualization

echarts-for-react
1.1 triệu lượt tải/tuần

timeago.js
Thư viện thời gian

canvas-nest.js
Hiệu ứng nền

Cơ chế đánh cắp thông tin tinh vi

Mã độc Mini Shai-Hulud được thiết kế để thu thập hơn 20 loại thông tin đăng nhập nhạy cảm từ môi trường phát triển của nạn nhân, bao gồm:

Thông tin xác thực AWS, Google Cloud và Microsoft Azure.
Token truy cập GitHub, npm, SSH và Kubernetes.
Dữ liệu từ Vault, Stripe và các chuỗi kết nối cơ sở dữ liệu.
Cố gắng thoát khỏi container Docker thông qua host socket.

Dữ liệu sau khi thu thập sẽ được mã hóa và gửi về máy chủ điều khiển (C&C). Nếu thất bại, mã độc sẽ tự động tạo một kho lưu trữ công khai trên chính tài khoản GitHub của nạn nhân để lưu trữ dữ liệu dưới dạng file JSON.

HÀNH ĐỘNG KHẨN CẤP DÀNH CHO NHÀ PHÁT TRIỂN

Kiểm tra ngay lập tức các gói phụ thuộc (dependencies) trong dự án, đặc biệt là hệ sinh thái @antv.
Thu hồi và thay đổi toàn bộ các Token/Secret (GitHub, Cloud, Database) nếu phát hiện sử dụng các phiên bản thư viện nghi vấn.
Bật xác thực đa yếu tố (2FA) cho tất cả tài khoản quản trị npm và GitHub.
Sử dụng các công cụ quét bảo mật chuỗi cung ứng để phát hiện sớm các hook độc hại trong file package.json.

Nguồn tham khảo: The Hacker News

LIÊN HỆ ĐỘI NGŨ ỨNG CỨU SỰ CỐ TMGS

Cảnh báo: Chiến dịch Mini Shai-Hulud tấn công hàng loạt gói npm trong hệ sinh thái @antv