Was ist passiert?
Eine koordinierte Supply-Chain-Attack hat acht Pakete auf Packagist, dem PHP-Paketmanager Composer, infiziert. Die Angreifer haben bösartigen Code eingeschleust, der ein Linux-Binary von einer GitHub-URL herunterlädt und ausführt. Besonders tückisch: Der Code wurde nicht in composer.json, sondern in package.json platziert, um JavaScript-Projekte zu kompromittieren.
Hintergrund & Bedeutung
Supply-Chain-Attacken gehören zu den gefährlichsten Bedrohungen der IT-Sicherheit. Sie nutzen vertrauenswürdige Software-Repositories als Angriffsvektor, um massenhaft Entwickler- und Produktivumgebungen zu infizieren. Durch die Kompromittierung beliebter Open-Source-Pakete erreichen Angreifer eine breite Reichweite mit minimaler Erkennung.
Die Verwendung von GitHub als Hosting-Infrastruktur für Malware ist strategisch gewählt – es erschwert die Erkennung, da GitHub als vertrauenswürdig eingestuft wird. Die Platzierung des Codes in package.json statt composer.json zeigt eine ausgefeilte Taktik, die auf Mehrzweck-Repositories abzielt.
Empfehlungen für IT-Teams
- Dependency-Scanning: Nutzen Sie Tools wie Snyk oder Dependabot zur automatisierten Überwachung von Paketabhängigkeiten
- Code-Review: Überprüfen Sie nicht nur composer.json, sondern auch package.json und weitere Konfigurationsdateien auf verdächtige Einträge
- Versionskontrolle: Fixieren Sie kritische Paketversionen statt automatische Updates zu nutzen
- Netzwerküberwachung: Überwachen Sie ausgehende Verbindungen zu GitHub und anderen Quellen auf verdächtige Download-Aktivitäten
- Incident-Response: Etablieren Sie schnelle Update- und Patching-Prozesse
Fazit
Diese Attack unterstreicht die kritische Notwendigkeit, Supply-Chain-Sicherheit ernst zu nehmen. IT-Teams müssen ihre Abhängigkeitsmanagement-Prozesse verstärken und mehrschichtige Sicherheitsmaßnahmen implementieren, um solche koordinierten Angriffe früh zu erkennen.
Quelle: Original Artikel