CanisterWorm 惡意軟體

惡意軟體, 蠕蟲年Mezo年

翻譯為：

一場精心策劃的供應鏈攻擊最初針對的是廣泛使用的 Trivy 掃描器，但隨後升級為影響眾多 npm 軟體包的大規模入侵。幕後黑手涉嫌部署了一種先前未被記錄的自傳播蠕蟲病毒 CanisterWorm，這顯著擴大了入侵的規模和影響。

該惡意軟體的名稱源自於其利用網路電腦協定 (ICP) 容器（一種託管在去中心化區塊鏈上的防篡改智慧合約）作為其命令基礎設施的一部分。這是首次有公開記錄的利用 ICP 容器來獲取命令與控制 (C2) 端點的案例，引入了一種新穎且極具韌性的策略，使傳統的緩解措施更加複雜。

這次攻擊影響了多個不同範圍的 npm 包，顯示其波及範圍很廣，遍及軟體供應鏈：

@EmilGroup 範圍內的 28 個軟體包
@opengov 範圍內的 16 個軟體包
其他軟體包包括 @teale.io/eslint-config、@airtm/uuid-base32 和 @pypestream/floating-ui-dom

這次攻擊活動緊接著一次憑證外洩事件之後，該事件使得攻擊者能夠發布與 Trivy 相關的惡意工具版本，特別是 trivy、trivy-action 和 setup-trivy，這些工具內建了竊取憑證的功能。據信，此次行動與一個名為 TeamPCP 的專注於雲端服務的網路犯罪集團有關。

感染鏈始於 npm 套件的安裝過程，安裝後腳本會執行一個載入器。此載入器會部署一個基於 Python 的後門，該後門旨在與 ICP 容器通訊。該容器充當死信箱解析器，返回一個 URL，引導受感染的系統下載並執行下一階段的有效載荷。

ICP 基礎設施的去中心化特性為攻擊者提供了顯著優勢。由於容器可以動態更新有效載荷 URL，威脅行為者無需修改已部署的惡意軟體本身，即可在所有受感染的系統中分發新的惡意二進位。這種架構也使得清除工作變得更加困難。

持久性是透過建立一個配置為自動重啟惡意進程的 systemd 用戶服務來實現的。主要特徵包括：

這種方法透過與合法系統服務整合，確保持續運行，同時最大限度地降低被檢測到的可能性。

後門程序每隔 50 分鐘定期與 ICP 罐通信，使用偽造的瀏覽器用戶代理以避免引起懷疑。傳回的 URL 決定下一步操作：

這種機制實際上相當於一個遠端終止開關。攻擊者可以透過切換容器的 URL（在良性 YouTube 連結和惡意負載之間切換），來啟動或停用所有受感染系統上的惡意軟體。值得注意的是，先前執行的負載會繼續在背景運行，因為惡意軟體不會終止先前的進程。

在植入木馬的 Trivy 二進位（版本 0.69.4）中也發現了類似的基於 YouTube 的終止開關，它透過一個單獨的 Python dropper 與相同的 ICP 基礎設施進行通訊。

最初，傳播依賴一個名為 deploy.js 的手動執行腳本，該腳本利用竊取的 npm 身份驗證令牌將惡意程式碼注入到可存取的軟體包中。此腳本並非在安裝過程中觸發，而是作為一個獨立工具來擴大攻擊範圍。

CanisterWorm 的後續變體已經發生了顯著變化。在較新的版本中，例如 @teale.io/eslint-config 中的版本（1.8.11 和 1.8.12），該蠕蟲將自我傳播直接整合到軟體包的安裝過程中。更新後的機制包括：

這種轉變將攻擊從人工操作的活動轉變為完全自主的傳播系統。

自動令牌收集和自我傳播功能的引入標誌著安全形勢的急劇升級。任何安裝了受感染軟體包且包含可存取 npm 憑證的開發者工作站或 CI/CD 管線都會成為活躍的傳播節點。這會產生級聯效應，受感染的軟體包會導致下游依賴項進一步感染。

現階段，威脅已不再局限於孤立的帳戶入侵，而是演變為一個自我維持的惡意軟體傳播生態系統。每個新感染的環境都會促進傳播，導致指數級增長，並使遏制工作變得更加困難。

更令人擔憂的是，測試工件（例如佔位符有效載荷「hello123」）表明，攻擊者在部署完全可操作的惡意二進位檔案之前，正在積極地完善和驗證攻擊鏈。

搜索