CẢNH BÁO CHUỖI CUNG ỨNG

Phát hiện mã độc Linux ẩn mình trong 8 gói phần mềm trên hệ sinh thái Packagist

Một chiến dịch tấn công chuỗi cung ứng 'có phối hợp' vừa được phát hiện nhắm vào kho lưu trữ Packagist. Kẻ tấn công đã sử dụng kỹ thuật tấn công xuyên hệ sinh thái (cross-ecosystem), chèn mã độc vào các tệp JavaScript trong các dự án PHP để thực thi tệp tin nhị phân Linux độc hại từ GitHub.

Chi tiết phương thức tấn công Cross-Ecosystem

Điểm đáng chú ý của chiến dịch này là thay vì chèn mã độc vào tệp composer.json (vốn là mục tiêu kiểm tra chính của các nhà phát triển PHP), kẻ tấn công lại đặt mã độc vào package.json. Đây là tệp cấu hình cho các công cụ xây dựng JavaScript thường được đóng gói kèm với mã nguồn PHP hiện đại.

Khi các gói này được cài đặt, một script postinstall sẽ tự động tải xuống một tệp thực thi Linux từ GitHub Releases, lưu nó vào thư mục /tmp/.sshd, cấp quyền thực thi và khởi chạy ngầm dưới tên gvfsd-network nhằm che giấu hoạt động.

Danh sách các gói bị ảnh hưởng

moritz-sauer-13/silverstripe-cms-theme

crosiersource/crosierlib-base

devdojo/wave

devdojo/genesis

katanaui/katana

elitedevsquad/sidecar-laravel

r2luna/brain

baskarcm/tzi-chat-ui

Phạm vi ảnh hưởng rộng lớn

Các cuộc điều tra cho thấy mã độc này xuất hiện trong hơn 777 tệp tin trên GitHub, bao gồm cả trong các quy trình GitHub Actions. Điều này cho thấy kẻ tấn công không chỉ nhắm vào việc cài đặt thủ công mà còn muốn xâm nhập vào các quy trình CI/CD tự động của doanh nghiệp.

HÀNH ĐỘNG KHẨN CẤP CHO DOANH NGHIỆP

Rà soát toàn bộ các dự án PHP có sử dụng 8 gói phần mềm nêu trên.
Kiểm tra các tệp package.json trong dự án để tìm kiếm các script lạ trong phần 'postinstall'.
Quét thư mục /tmp trên hệ thống Linux để tìm kiếm tệp tin .sshd hoặc các tiến trình chạy ngầm bất thường.
Cập nhật hoặc gỡ bỏ các phiên bản 'dev-master' và 'dev-main' không an toàn.

Nguồn tham khảo: The Hacker News

LIÊN HỆ ĐỘI NGŨ ỨNG CỨU SỰ CỐ TMGS

Tấn công chuỗi cung ứng Packagist: 8 gói phần mềm bị nhiễm mã độc Linux từ GitHub