CẢNH BÁO CHUỖI CUNG ỨNG

Các nhà nghiên cứu bảo mật vừa phát hiện một chiến dịch mới mang tên GemStuffer, lạm dụng kho lưu trữ RubyGems để làm kênh trung chuyển dữ liệu thay vì phát tán mã độc như thông thường. Hơn 150 gói phần mềm đã được sử dụng để đánh cắp dữ liệu từ các cổng thông tin của hội đồng địa phương tại Vương quốc Anh.

Cơ chế hoạt động tinh vi của GemStuffer

Thay vì nhắm vào việc xâm nhập máy tính của nhà phát triển trên diện rộng, GemStuffer sử dụng RubyGems như một kho lưu trữ tạm thời cho dữ liệu đã thu thập (web scraping). Các script trong gói mã độc sẽ truy cập các cổng thông tin chính phủ Anh, đóng gói kết quả phản hồi HTTP thành các tệp tin .gem hợp lệ và đẩy ngược trở lại RubyGems bằng các khóa API được mã hóa cứng.

150+
Gói RubyGems độc hại

ModernGov
Cổng thông tin bị nhắm tới

API Key
Sử dụng mã hóa cứng

Lạm dụng hạ tầng kho lưu trữ công cộng

Kẻ tấn công sử dụng các lệnh Command-Line Interface (CLI) của RubyGems hoặc gửi trực tiếp qua HTTP POST request để tải lên dữ liệu. Sau khi các gói này được xuất bản, kẻ tấn công chỉ cần chạy lệnh 'gem fetch' để truy xuất dữ liệu đã đánh cắp từ bất kỳ đâu. Các dữ liệu bị thu thập bao gồm lịch họp hội đồng, chương trình nghị sự, tài liệu PDF, thông tin liên lạc của cán bộ và nội dung nguồn cấp RSS.

Hành động khẩn cấp cho doanh nghiệp

Kiểm tra lại toàn bộ các phụ thuộc (dependencies) RubyGems trong dự án.
Sử dụng các công cụ quét mã nguồn để phát hiện khóa API hoặc thông tin đăng nhập bị nhúng trái phép.
Giám sát các hoạt động tải lên/tải về bất thường từ các tài khoản tổ chức trên các registry công cộng.
Cập nhật các bản vá bảo mật và theo dõi thông báo từ ban quản trị RubyGems.

Nguồn tham khảo: The Hacker News

LIÊN HỆ ĐỘI NGŨ ỨNG CỨU SỰ CỐ TMGS

Chiến dịch GemStuffer: Lợi dụng hơn 150 gói RubyGems để đánh cắp dữ liệu chính phủ Anh