CrowdStrike ร่วมมือกับ Google และองค์กรด้านความปลอดภัยทางอินเทอร์เน็ต Shadowserver ในการทำลายเครือข่ายบอทที่มุ่งเป้าไปที่นักพัฒนาซอฟต์แวร์โอเพ่นซอร์ส เครือข่ายนี้ได้ใช้บัญชีนักพัฒนาและช่องทางการแจกจ่ายโค้ดเพื่อกระจายโปรแกรมที่เป็นอันตรายและขโมยรหัสผ่านมาตลอดสองปีที่ผ่านมา
โจมตีนักพัฒนาอย่างต่อเนื่องเป็นเวลาสองปี
การดำเนินการครั้งนี้มุ่งเป้าไปที่เครือข่ายการโจมตีที่ชื่อว่า Glassworm CrowdStrike ระบุว่า การโจมตีเหล่านี้ไม่ได้จำกัดอยู่แค่ผลิตภัณฑ์ซอฟต์แวร์อีกต่อไป แต่ได้เล็งเป้าไปที่นักพัฒนาผู้เขียนและดูแลรหัสโปรแกรมโดยตรง เนื่องจากอุปกรณ์ของนักพัฒนาเพียงเครื่องเดียวที่ถูกโจมตีอาจแพร่กระจายไปยังผู้ใช้และองค์กรจำนวนมากตามห่วงโซ่อุปทาน
มีมากกว่า 300 รีโพสิทอรีบน GitHub ได้รับผลกระทบ
ตามคำกล่าวของ CrowdStrike ผู้โจมตีกระจายรหัสที่เป็นอันตรายหลักผ่านสามวิธี ได้แก่ การเผยแพร่ปลั๊กอินที่เป็นอันตรายบนตลาดส่วนขยายที่นักพัฒนาใช้ การซื้อโฆษณาค้นหาเพื่อหลอกให้ผู้ใช้ดาวน์โหลด และการใช้ข้อมูลการเข้าสู่ระบบที่ขโมยมาควบคุมบัญชีนักพัฒนา
- ส่วนขยายที่เป็นอันตรายถูกปล่อยลงบนตลาดนักพัฒนา
- การโฆษณาแบบค้นหาถูกใช้เพื่อหลอกให้ผู้ใช้ดาวน์โหลดมัลแวร์
- บัญชีที่ถูกขโมยถูกใช้เพื่อฝังโค้ดที่เป็นอันตราย
หลังจากยึดการควบคุมบัญชีแล้ว ผู้โจมตีได้เขียนโค้ดที่เป็นอันตรายลงในรีโพสิทอรีของโครงการ CrowdStrike ระบุว่าในที่สุดมีรีโพสิทอรี GitHub มากกว่า 300 แห่งได้รับผลกระทบ
การควบคุมช่องทางเกี่ยวข้องกับบริการเช่น Solana
CrowdStrike ระบุว่าได้ตัดช่องทางการควบคุมและสั่งการทั้ง 4 ช่องทางที่ Glassworm ใช้ ลดความสามารถของผู้โจมตีในการเข้าถึงอุปกรณ์ที่ติดเชื้อ และป้องกันไม่ให้พวกเขาส่งโปรแกรมที่เป็นอันตรายเพิ่มเติม
รายงานระบุว่าโครงสร้างพื้นฐานการควบคุมเหล่านี้อิงจากช่องทางหลายช่องทาง รวมถึงบล็อกเชน Solana เครือข่ายจุดต่อจุด BitTorrent Google Calendar และเซิร์ฟเวอร์ส่วนตัวเสมือน อย่างไรก็ตาม รายงานไม่ได้ระบุว่าการดำเนินการครั้งนี้อ้างอิงตามอำนาจทางกฎหมายหรือวิธีการทางเทคนิคใดเป็นพิเศษ
การโจมตีประเภทเดียวกันยังคงเกิดขึ้นในช่วงไม่กี่วันที่ผ่านมา
ในหลายเดือนที่ผ่านมา จำนวนการโจมตีแบบซัพพลายเชนที่มุ่งเป้าไปที่โปรเจกต์โอเพ่นซอร์สและนักพัฒนาได้เพิ่มขึ้นอย่างต่อเนื่อง TechCrunch ระบุว่า เมื่อสัปดาห์ที่แล้ว มีการโจมตีอีกครั้งที่มีชื่อว่า Mini Shai-Hulud ซึ่งบุกเข้าไปในโปรเจกต์โอเพ่นซอร์สหลายแห่งและส่งการอัปเดตที่เป็นอันตราย โดยมีนักพัฒนาจาก OpenAI หนึ่งรายได้รับผลกระทบ
ข้อมูลเพิ่มเติม: รายงานยังระบุว่า เมื่อเดือนมีนาคมที่ผ่านมา เกิดเหตุการณ์การโจมตีซัพพลายเชนอีกครั้ง ซึ่งผู้โจมตีถูกสงสัยว่าเกี่ยวข้องกับเกาหลีเหนือ แสดงให้เห็นว่าบัญชีนักพัฒนาและช่องทางการแจกจ่ายแบบโอเพนซอร์สกำลังกลายเป็นเป้าหมายหลักของการโจมตี