Die neue Ära der Supply-Chain-Angriffe: Python-Entwickler bei ausgeklügeltem Supply-Chain-Angriff gehackt

Die Daten zeigen, dass Lieferkettenangriffe zu den effektivsten Methoden zählen, Organisationen zu kompromittieren, da sie die schwächsten Glieder der Sicherheitskette ausnutzen. Lieferkettenangriffe beginnen üblicherweise mit der Kompromittierung eines Lieferkettenpartners, beispielsweise eines Händlers, Entwicklers oder Lieferanten.

Sobald Angreifer in ein Unternehmen eingedrungen sind, können sie vertrauliche Daten stehlen, Systeme beschädigen oder sogar ganze Unternehmen lahmlegen. In diesem Blog untersuchen wir einen der jüngsten Vorfälle: einen Angriff auf die Lieferkette, bei dem mehrere Python-Entwickler außer Gefecht gesetzt wurden.

Der Supply-Chain-Angriff: Erklärt

Klonen eines beliebten Tools

Mehrere Python-Entwickler, darunter der Betreiber von Top.gg , wurden durch Malware , die Informationen stiehlt, infiziert, nachdem sie einen bösartigen Klon eines sehr beliebten Tools heruntergeladen hatten.

Das Tool heißt Colorama , ein Hilfsprogramm, das ANSI-Escape-Zeichenfolgen (ein Standard für In-Band-Signalisierung zur Steuerung von Cursorposition, Schriftart, Farbe und anderen Optionen auf Video-Text-Terminals und Terminalemulatoren) unter Windows zum Laufen bringt und bereits mehr als 150 Millionen Mal heruntergeladen wurde.

Die Angreifer betten Schadsoftware in Software ein, die anschließend an die Nutzer verteilt wird. Dadurch infiziert die Schadsoftware das System des Nutzers. Dieses Vorgehen ist vergleichbar mit der Herstellung eines gefälschten Produkts, das dem Original täuschend ähnlich sieht, aber schädliche Komponenten enthält.

Einrichten einer gefälschten Spiegeldomäne durch Typo Squatting

Um ihren Supply-Chain-Angriff auszuführen, klonten die Hacker Colorama, fügten Schadcode ein und platzierten die Schadversion auf einer gefälschten Mirror-Domain. Diese nutzte Typo-Squatting (Registrierung einer Domain, die einer legitimen Domain sehr ähnlich sieht), um Python-Entwickler dazu zu bringen, sie mit dem legitimen Mirror „files.pythonhosted.org“ zu verwechseln.

Wenn die legitime Domäne beispielsweise „example.com“ lautet, könnten die Angreifer „example1e.com“ oder einfach „example.co“ registrieren und so Benutzer ausnutzen, die die URL falsch eingeben.

Entführung hochkarätiger Konten

Die Angreifer erstellten unter ihren Konten schädliche Repositories, um das Schadsoftwarepaket zu verbreiten und gleichzeitig hochkarätige Konten zu kapern. Dazu gehörte auch das GitHub-Konto „editor-syntax“, das die Such- und Entdeckungsplattform Top.gg für Discord, eine Community mit über 1,700,000 Mitgliedern, verwaltet.

Unter Verwendung des Kontos „editor-syntax“ haben die Eindringlinge einen bösartigen Commit im Repository top-gg/python-sdk vorgenommen, indem sie Anweisungen zum Herunterladen des bösartigen Klons von Colorama hinzufügten und bösartige GitHub-Repositories starteten, um ihre Sichtbarkeit zu erhöhen.

Das Konto wurde über gestohlene Cookies gehackt. Diese nutzten die Angreifer, um die Authentifizierung zu umgehen und ohne Kenntnis des Passworts schädliche Aktivitäten durchzuführen. Dadurch wurden mehrere Mitglieder der Top.gg-Community kompromittiert. So konnten sie beispielsweise das Repository eines beliebten Softwareprojekts so verändern, dass es eine Abhängigkeit enthält, die den Schadcode anstelle des legitimen Pakets herunterlädt.

Schadcode verbergen

Um den Schadcode in Colorama zu verbergen, fügten die Cyberkriminellen zahlreiche Leerzeichen ein und verdrängten den Code-Ausschnitt so aus dem Bildschirm, dass er bei einer schnellen Überprüfung der Quelldateien nicht sichtbar war. Darüber hinaus legten sie fest, dass der Code bei jedem Import von Colorama ausgeführt wird. Diese Technik ähnelt dem Verstecken des Kleingedruckten in einem Vertrag, indem man es aus dem sichtbaren Bereich verschiebt und hofft, dass niemand nach unten scrollt, um es zu lesen.

Infektionsverfahren

Nachdem der Schadcode ausgeführt wurde, wurde der Infektionsvorgang mit mehreren zusätzlichen Schritten fortgesetzt, beispielsweise dem Ausführen und Herunterladen von zusätzlichem Python-Code und dem Abrufen der erforderlichen Bibliotheken bei gleichzeitiger Herstellung der Persistenz.

Schließlich wurden die Systeme der Entwickler mit Schadsoftware infiziert, die Tastatureingaben aufzeichnen und Daten aus verschiedenen Browsern stehlen konnte, darunter Chrome, Edge, Brave, Opera, Vivaldi und Yandex, Discord, Kryptowährungs-Wallets, Telegram-Sitzungen, Computerdateien und Instagram. Dies ist vergleichbar mit einem Einbrecher, der in ein Haus einbricht, Räume (Anwendungen) durchsucht und wertvolle Gegenstände (Datenanmeldeinformationen) stiehlt.

Schwachstellen bei der Code-Signierung und Maßnahmen zur Schadensbegrenzung

1. Zertifikatsdiebstahl

Cyberkriminelle zielen auf verschiedene Weise auf gemeinsam ausgestellte Zertifikate ab, darunter Phishing, Social Engineering oder die Kompromittierung von Zertifizierungsstellen . Sobald ein Angreifer ein gestohlenes Zertifikat besitzt , kann er Schadsoftware signieren und so deren Legitimität gegenüber ahnungslosen Nutzern sicherstellen.

Um dieses Risiko wirksam zu mindern, müssen Entwickler strenge Zertifikatsverwaltungspraktiken anwenden . Dazu gehören die sichere Speicherung, Zertifikatsprüfungen und die Zwei-Faktor-Authentifizierung.

Angenommen, es gibt ein Unternehmen namens Fintech Innovations Inc.; die sichere Speicherung von Zertifikaten verhindert unbefugten Zugriff auf seine Code-Signatur-Zertifikate. Das Unternehmen führt außerdem regelmäßige Zertifikatsprüfungen durch, um sicherzustellen, dass jedes Zertifikat bestimmungsgemäß verwendet wird. Darüber hinaus nutzt es für den Zertifikatszugriff eine Zwei-Faktor-Authentifizierung, die das Risiko eines unbefugten Zugriffs durch kompromittierte Anmeldeinformationen deutlich reduziert.

2. Kompromittierte Build-Umgebung

Lieferkettenangriffe zielen häufig auf die IT-Umgebungen von Softwareentwicklungsunternehmen ab. Durch die Kompromittierung dieser Systeme können Angreifer Schadcode in das Endprodukt einschleusen. Daher müssen Entwickler robuste Sicherheitsmaßnahmen für ihre IT-Umgebungen implementieren, darunter kontinuierliche Überwachung, sichere Zugriffskontrollen und Schwachstellenanalysen.

Die oben genannte Organisation implementiert eine kontinuierliche Überwachungslösung, die Echtzeitaktivitäten in ihren Entwicklungs- und Build-Umgebungen verfolgt. Darüber hinaus setzt sie strenge Zugriffskontrollen für ihre Build-Umgebungen durch. Fintech Innovations Inc. führt außerdem regelmäßig Schwachstellenanalysen der Build-Umgebung durch, um potenzielle Schwachstellen zu beheben und zu identifizieren.

Best Practices für sichere Code-Signierung

Um die Risiken der Codesignierung zu minimieren und sich vor Angriffen auf die Lieferkette zu schützen, müssen Unternehmen die folgenden bewährten Verfahren implementieren :

• Sichere Schlüsselverwaltung

  Organisationen müssen die für die Codesignierung verwendeten privaten Schlüssel schützen und deren sichere Speicherung sowie den Zugriff für autorisierte Benutzer gewährleisten. Sie müssen starke Verschlüsselung, Hardware-Sicherheitsmodule (HSMs) und regelmäßige Schlüsselrotation einsetzen, um die Auswirkungen eines kompromittierten Schlüssels zu minimieren. Google beispielsweise nutzt ein bekanntes Beispiel für ein Unternehmen, das sicheres Schlüsselmanagement für die Codesignierung einsetzt und sich so vor Cyberangriffen schützt.

• CLM oder Certificate Lifecycle Management

  Organisationen müssen eine robuste Struktur für die Ausstellung, den Widerruf und die Erneuerung von Zertifikaten etablieren. Bei der Erneuerung oder Anforderung von Zertifikaten müssen sie strenge Verifizierungsprozesse implementieren. Darüber hinaus müssen sie die verwendeten Zertifikate überwachen und prüfen sowie abgelaufene oder kompromittierte Zertifikate umgehend widerrufen.

• Build-Systemsicherheit

  Unternehmen müssen außerdem die Sicherheitsmaßnahmen rund um die Gebäudeumgebung verstärken, darunter Angriffserkennungssysteme, sichere Zugangskontrollen und kontinuierliche Überwachung. Sie müssen Build-Tools und Abhängigkeiten regelmäßig aktualisieren und patchen, um bekannte Schwachstellen zu beheben.

• Integrität der Lieferkette

  Organisationen müssen strenge Kontrollen während des gesamten Softwareentwicklungszyklus implementieren, darunter CI/CD- Pipelines (Continuous Integration/Continuous Deployment), sichere Code-Repositories und regelmäßige Sicherheitsaudits. Sie müssen außerdem die Integrität von Drittanbieterbibliotheken und -komponenten überprüfen, bevor diese in Softwareprojekte integriert werden.

• Benutzerbewusstsein und Aufklärung

  Sie müssen die Benutzer über die Bedeutung der Code-Signierung und die Überprüfung der Authentifizierung der Software aufklären. Sie müssen außerdem das Bewusstsein für potenzielle Risiken und gängige Angriffsmethoden wie Phishing-Versuche oder Social Engineering schärfen.

Fazit

Darüber hinaus ist die Anwendung bewährter Verfahren für sichere Codesignierung unerlässlich, um sich gegen diese heimtückischen Bedrohungen zu wappnen. CodeSign Secure stellt sicher, dass keine Manipulationen durch Unbefugte erfolgen und die veröffentlichte Software vom Originalhersteller stammt. Es schützt Sie außerdem vor Angriffen entlang der Lieferkette.