CẢNH BÁO CHUỖI CUNG ỨNG

Cảnh báo: Tấn công chuỗi cung ứng Packagist lây nhiễm mã độc Linux vào 8 gói thư viện

Một chiến dịch tấn công chuỗi cung ứng tinh vi đã lây nhiễm mã độc vào 8 gói phần mềm trên Packagist. Điều nguy hiểm nằm ở chỗ mã độc được giấu trong các tệp cấu hình JavaScript của các dự án PHP, cho phép kẻ tấn công thực thi mã từ xa trên hệ điều hành Linux.

Chi tiết phương thức tấn công "Xuyên Hệ Sinh Thái"

Thay vì chèn mã độc vào composer.json như các cuộc tấn công truyền thống nhắm vào PHP, kẻ tấn công đã nhắm vào package.json. Đây là một chiến thuật thông minh nhắm vào các dự án PHP sử dụng bộ công cụ xây dựng (build tooling) bằng JavaScript. Khi người dùng cài đặt gói, script postinstall sẽ tự động kích hoạt mã độc để tải tệp thực thi từ GitHub.

Mục tiêu: Các nhà phát triển PHP và môi trường CI/CD.

Nguồn mã độc: Tệp nhị phân tải từ GitHub Releases.

Đường dẫn lưu: /tmp/.sshd trên Linux.

Hành vi: Thay đổi quyền thực thi (chmod) và chạy ngầm.

Danh sách 8 gói thư viện bị ảnh hưởng

moritz-sauer-13/silverstripe-cms-theme (dev-master)
crosiersource/crosierlib-base (dev-master)
devdojo/wave (dev-main)
devdojo/genesis (dev-main)
katanaui/katana (dev-main)
elitedevsquad/sidecar-laravel (3.x-dev)
r2luna/brain (dev-main)
baskarcm/tzi-chat-ui (dev-main)

Cơ chế ẩn mình của mã độc

Mã độc được đặt tên là gvfsd-network để giả dạng một tiến trình hệ thống GNOME hợp lệ. Trong quá trình cài đặt, nó sẽ vô hiệu hóa xác thực TLS, ẩn các thông báo lỗi và âm thầm tải xuống giai đoạn thứ hai của mã độc từ tài khoản GitHub. Các chuyên gia bảo mật từ Socket cảnh báo rằng cuộc tấn công này có thể quy mô hơn khi tìm thấy hơn 700 tham chiếu liên quan trên GitHub.

HÀNH ĐỘNG KHẨN CẤP

Kiểm tra: Rà soát ngay lập tức tệp package.json trong các dự án PHP sử dụng Composer.
Cập nhật: Xóa các phiên bản bị nhiễm khỏi tệp lock và cập nhật lên phiên bản sạch.
Giám sát: Kiểm tra các GitHub Actions và pipeline để đảm bảo không có script postinstall lạ được thực thi.

Nguồn tham khảo: The Hacker News

LIÊN HỆ ĐỘI NGŨ ỨNG CỨU SỰ CỐ TMGS