CrowdStrike, Google ve internet güvenliği kuruluşu Shadowserver, açık kaynak yazılım geliştiricilerini hedef alan bir bot ağını ortadan kaldırdı. Bu ağaç, geçen iki yıl boyunca geliştirici hesaplarını ve kod dağıtım zincirlerini kullanarak kötü amaçlı yazılımlar yaydı ve şifreleri çaldı.
Geliştiricilere iki yıl boyunca sürekli saldırılar düzenledi
Bu operasyon, Glassworm adlı bir saldırı ağına yönelik. CrowdStrike, bu tür saldırıların artık sadece yazılım ürünlerine odaklanmadığını, aksine kod yazan ve bakım yapan geliştiricilere doğrudan hedef aldığını belirtti; çünkü tek bir geliştirici cihazının ele geçirilmesi, tedarik zinciri boyunca birçok alt kullanıcı ve kuruma yayılabilir.
300'den fazla GitHub deposu kirlendi
CrowdStrike'e göre, saldırganlar, geliştiricilerin kullandığı eklenti pazarlarında kötü amaçlı eklentiler yayınlamak, arama reklamları satın alarak indirmeye teşvik etmek ve daha önce çalınan kimlik bilgilerini kullanarak geliştirici hesaplarını ele geçirmek gibi üç ana yöntemle kötü amaçlı kod yayıyor.
- Kötü niyetli eklentiler geliştirici pazarına yüklendi.
- Arama reklamları, bir trojan indirmeye teşvik etmek için kullanılmaktadır.
- Hesaplar çalınarak zararlı kodlar yerleştirildi.
Hesap kontrolünü ele geçirdikten sonra, saldırganlar kötü amaçlı kodu projenin deposuna yazdı. CrowdStrike, sonunda 300'den fazla GitHub kod deposunun kirlendiğini belirtti.
Kontrol kanalı, Solana gibi hizmetleri içerir.
CrowdStrike, Glassworm'un kullandığı dört komut ve kontrol kanalını keserek, saldırganların enfekte edilmiş cihazlara erişimini zayıflattı ve daha fazla zararlı yazılım indirmesini engelledi.
Rapor, bu altyapı kontrolünün Solana blok zinciri, BitTorrent noktadan noktaya ağı, Google Takvimi ve sanal özel sunucuları dahil olmak üzere birçok kanaldan yararlandığını belirtiyor. Ancak rapor, bu operasyonun hangi yasal yetki veya teknik yöntemle gerçekleştirildiğini açıklamıyor.
Son zamanlarda benzer saldırılar devam etmektedir
Son aylarda açık kaynak projeleri ve geliştiriciler üzerine yönelik tedarik zinciri saldırıları artmaya devam ediyor. TechCrunch, geçen hafta Mini Shai-Hulud adlı başka bir saldırı dalgasının birçok açık kaynak projesini işgal ettiğini ve zararlı güncellemeler yaydığını, bunların arasında bir OpenAI geliştiricisinin de etkilendiğini belirtti.
Ek bilgi: Haberde, bu yıl Mart'ta başka bir tedarik zinciri saldırısı olduğu ve arka plandaki hacker'ların Kuzey Kore ile ilişkili olduğu belirtildi; bu da geliştirici hesaplarının ve açık kaynak dağıtım zincirlerinin saldırıların odak noktası haline geldiğini gösteriyor.