Технические директора Ledger предупреждают об атаках на цепочки поставок NPM с более чем миллиардами загрузок

Чарльз Гийомé, технический директор провайдера аппаратных кошельков Ledger, публично предупредил о разворачивающейся атаке на цепочку поставок, затрагивающей экосистему Node.js. Согласно сообщению Гийомé в социальной сети X, злоумышленники получили доступ к аккаунту уважаемого разработчика в NPM (Node Package Manager) и внедрили вредоносный код в широко используемые JavaScript-пакеты. Скомпрометированные пакеты в совокупности набрали более 1 миллиарда загрузок, что свидетельствует о потенциально серьезной угрозе для разработчиков и конечных пользователей в криптовалютном секторе.

Вредоносный код предназначен для перехвата и изменения данных транзакций внутри затронутых библиотек, тихо заменяя исходный адрес кошелька на адрес злоумышленника. Такие модификации остаются незаметными для приложений, которые не реализуют строгую проверку адресов в блокчейне. В результате средства, отправленные через децентрализованные приложения или смарт-контракты, зависящие от скомпрометированных пакетов, могут быть перенаправлены на несанкционированные счета, что ведет к значительным финансовым потерям пользователей.

Гийомé подчеркнул, что единственной надежной защитой от такого вида атак является использование аппаратных кошельков с надежными дисплеями и поддержкой Clear Signing. Надежные дисплеи позволяют пользователям проверить точный адрес получателя и сумму транзакции перед подтверждением перевода. Без такого уровня проверки программное обеспечение кошельков или децентрализованные приложения остаются уязвимыми к атакам с подменой адресов.

Цепочки поставок программного обеспечения с открытым исходным кодом давно рассматриваются как потенциальные точки взлома, особенно в критически важных инфраструктурах и финансовых приложениях. Атака на NPM подчеркивает взаимосвязанность современных рабочих процессов разработки, где компрометация одного аккаунта может привести к широкомасштабному заражению кода. Эксперты в области безопасности призывают мейнтейнеров пакетов с высоким риском внедрять многофакторную аутентификацию, проводить регулярные проверки безопасности и автоматизированные проверки целостности в рамках комплексных стратегий усиления защиты.

Ledger пока не раскрывает конкретные пакеты и разработчиков, чтобы не способствовать распространению вредоносного кода. Гийомé посоветовал разработчикам проводить аудит зависимостей, мониторить сетевые запросы на предмет аномальной активности с подменой адресов и использовать криптографические инструменты для проверки целостности пакетов. Он также призвал более широкое сообщество open-source и корпоративных пользователей сотрудничать в отслеживании и устранении скомпрометированных модулей.

Этот инцидент последовал за серией заметных атак на цепочки поставок в сфере разработки программного обеспечения, включая троянские зависимости в популярных экосистемах. Эта атака напоминает о необходимости расширения мер безопасности не только на прямые атаки на приложения, но и на всю цепочку разработки. Организациям рекомендуется применять строгие меры безопасности, включая белые списки зависимостей, непрерывный мониторинг и планирование реагирования на инциденты для снижения будущих рисков.

Сделал отчет Марго Никерк; отредактировал Нихилеш Де.