مهاجمان با به‌دست‌آوردن دسترسی push به مخازن پروژه، از خط لوله انتشار قانونی GitHub Actions بهره بردند تا بسته‌های مخرب را با تأییدیه‌های معتبر OIDC منتشر کنند؛ بدون آنکه نیازی به سرقت توکن npm داشته باشند. محقق امنیتی روهان پرابهو تأکید کرد که «تأییدیه‌های SLSA provenance تنها اثبات می‌کنند که گردش‌کار مجاز پروژه بسته را تولید کرده، نه اینکه کامیت‌های آغازگر مشروع بوده‌اند.» این بدافزار علاوه بر سرقت اعتبارنامه (credential theft)، حرکت جانبی در شبکه محلی (LAN lateral movement) و انتشار کرم‌وار در مخازن npm، PyPI و Cargo، دارای مکانیزم پایداری (persistence) از طریق systemd، crontab، macOS launchd و رجیستری ویندوز است و از اجرا در محیط‌های سندباکس (sandbox)، ماشین‌های مجازی و سیستم‌هایی با زبان روسی یا ابزارهای امنیتی شناخته‌شده خودداری می‌کند. تمامی پنج نسخه مخرب از مخزن npm حذف شده‌اند.
کلمات کلیدی : بسته‌های آلوده npm, بدافزار AsyncAPI, بات‌نت Miasma, امنیت زنجیره تامین نرم‌افزار, حمله GitHub Actions, سرقت اعتبارنامه جاوااسکریپت
نظر شما چیست؟
خوشحال می‌شویم نظر شما را بدانیم. نظری بنویسید.