Масштабная атака на цепочку поставок NPM затронула криптокошельки

Недавняя утечка в цепочке поставок npm показала, насколько уязвимыми могут быть экосистемы с открытым исходным кодом, если доверие к одному аккаунту мейнтейнера оказывается подорвано. Хакеры обманули разработчика популярных пакетов chalk, debug, ansi-styles и нескольких других, отправив фишинговое письмо под видом официальной поддержки. Получив доступ, они внедрили вредоносный код в 18 npm-пакетов, которые суммарно скачиваются более двух миллиардов раз каждую неделю. Миллиарды загрузок приходились на библиотеки, которые разработчики подключают почти автоматически.

Вредоносный код атаковал криптокошельки вроде MetaMask

Задача вредоносного кода была только одна — взлом криптокошельков. После установки он сканировал браузерные кошельки, такие как MetaMask. В момент подтверждения транзакции программа незаметно подменяла адрес получателя на контролируемый злоумышленниками. С точки зрения пользователя все выглядело нормально: интерфейс кошелька показывал привычный процесс, но средства уходили в другое место. Такой скрытый способ кражи сложно обнаружить до того, как деньги уже потеряны.

Быстрая реакция сообщества ограничила ущерб

Необычно то, что украсть злоумышленники смогли совсем немного. По данным на данный момент, общий ущерб не превысил 500 долларов. Учитывая охват этих npm-пакетов, сумма могла быть куда больше. Решающее значение сыграла оперативная реакция сообщества open source. Исследователи безопасности заметили компрометацию, отметили заражённые версии и организовали их удаление в течение нескольких часов. Это, скорее всего, предотвратило гораздо более крупные потери.

Риски атак через цепочку зависимостей

Атака на цепочку поставок, начавшаяся с одного скомпрометированного аккаунта, способна распространиться по всей экосистеме. Многие разработчики напрямую никогда не устанавливали chalk или debug, но оказались затронуты через косвенные зависимости. Современные цепочки поставок ПО устроены так: малейшее изменение в исходном коде быстро распространяется вниз. Так как большинство проектов обновляются автоматически, вредоносный код успел распространиться тихо и незаметно.

Предыдущие инциденты показывают рост угроз

Компрометация event-stream в 2018 году привела к внедрению вредоносного кода в дерево зависимостей для кражи биткоин-кошельков. В репозитории PyPI фиксировались случаи захвата пакетов с установкой программ для кражи учётных данных. Даже взлом SolarWinds, хоть и не связанный с npm, был построен по той же логике атаки на цепочку поставок — внедрение бэкдора в доверенное ПО. Злоумышленники выбирают этот путь, поскольку он обеспечивает масштаб и скрытность, недостижимые при прямых атаках на пользователей.

Для организаций выводы становятся очевиднее. Управление зависимостями нельзя пускать на самотёк. Важны не только инструменты аудита и фиксации версий, но и мониторинг на этапе исполнения, чтобы выявлять подозрительное поведение, например неожиданные обращения к криптокошелькам. Усиление защиты аккаунтов мейнтейнеров снижает вероятность успешного фишинга. А команды должны исходить из того, что цепочки поставок open source и дальше будут главной целью атак, что делает устойчивость важнее слепого доверия.

Модель доверия в open source остаётся слабым звеном

Главный вывод касается самой модели доверия в open source. Разработчики полагаются на пакеты, поддерживаемые отдельными энтузиастами, часто без институциональной поддержки. Именно это доверие используют злоумышленники. Если один мейнтейнер станет жертвой фишинга, последствия могут затронуть миллионы приложений. Инцидент ещё раз показал: безопасность — это не только исправление багов. Это защита всей цепочки от мейнтейнера до конечного пользователя.

Когда конечной целью становятся криптокошельки, ставки особенно высоки. Пользователь не заметит подмены адреса до тех пор, пока средства не исчезнут, а в отличие от традиционных финансов, в криптовалютах возврата нет. Тот факт, что злоумышленники протестировали этот метод в таком масштабе, пусть и получив небольшую выгоду, указывает на вероятность новых попыток. В этот раз сообщество среагировало быстро, но впредь потребуется постоянная бдительность.