Агентство CISA предупредило об угрозе атак на цепочки поставок программного обеспечения
Агентство по кибербезопасности и защите инфраструктуры США (CISA) выпустило экстренное предупреждение о серии продолжающихся атак на цепочки поставок программного обеспечения. Злоумышленники эксплуатируют уязвимости в популярных инструментах разработки, облачных средах и системах DevOps, внедряя вредоносное ПО для кражи конфиденциальных данных.
Детали инцидентов и методы атак
В центре внимания экспертов оказались два вектора атак: использование скомпрометированного расширения Nx Console для редактора Visual Studio Code и масштабная вредоносная кампания под названием Megalodon. Атаки демонстрируют, как хакеры используют легитимные инструменты разработки, включая CI/CD-конвейеры (системы автоматизации сборки и развертывания кода) и рабочие процессы, для проникновения в корпоративные сети.
В ходе инцидентов с Nx Console злоумышленники получили доступ к устройству сотрудника GitHub*, что позволило им внедрить вредоносный код через стороннее расширение. Это привело к краже данных из репозиториев компании. В рамках кампании Megalodon хакеры внедряли вредоносные сценарии GitHub* Actions для перехвата учетных данных облачных сервисов, токенов доступа и секретных ключей.
Рекомендации по защите инфраструктуры
Смотрите также:
Исследование выявило систематическую предвзятость алгоритмов при найме сотрудников http://stroybud.com/issledovanie-vyiyavilo-sistematicheskuyu-predvzyatost-algoritmov-pri-nayme-sotrudnikov/.
Интересности на тему: Overwatch: Десятилетие, изменившее игру и сообщество
Классные советы в статье "Обзор игрового ноутбука MSI Raider 16 Max HX: мощность, заменяющая настольный ПК" здесь.
Для предотвращения подобных атак CISA призывает организации предпринять следующие шаги:
- Регулярно проводить аудит файлов рабочих процессов и активности участников проектов, оперативно отменяя любые несанкционированные изменения.
- При выявлении компрометации проводить тщательное расследование с анализом логов CI/CD, журналов облачных сервисов и проверкой рабочих станций разработчиков.
- Произвести полную смену всех секретных данных, включая API-ключи, учетные данные для Amazon Web Services, Google Cloud Platform, Microsoft Azure*, SSH-ключи, а также токены для Docker, npm, PyPI, Terraform, Kubernetes, GitHub*, GitLab* и Bitbucket*.
- Внедрить политику отложенной загрузки пакетов: рекомендуется ждать не менее трех часов после выпуска обновления, чтобы сообщество успело выявить и сообщить о возможных подозрительных изменениях.
- Использовать фиксацию версий программного обеспечения и загружать компоненты только из доверенных источников.
* — деятельность компании запрещена на территории РФ
