供應鏈攻擊鎖定GitHub開源軟體專案

針對開發人員之供應鏈攻擊手法不斷更新,過往攻擊者主要透過直接竊取用戶帳密或憑證之方式,進而取得GitHub程式碼共享平台帳號之控制權。近期資安研究人員向GitHub資安事件應變團隊通報,發現駭客將惡意程式注入開源專案中,使開發人員上傳程式碼至GitHub平台時,便會無意間於GitHub平台上散布後門程式。此外,GitHub亦公布攻擊手法細節,期開發人員能夠加以防範。

 

資安研究人員將此次發現駭客所使用之惡意程式,命名為Octopus Scanner。駭客鎖定採用NetBeans整合開發環境之電腦發動攻擊,先將惡意程式植入至開發用電腦,並修改編譯之XML組態檔案內容,使開發者每次編譯程式時,惡意程式會一併載入並感染編譯好之JAR檔案,導致開發者提交至GitHub平台之程式碼帶有後門程式。

 

目前GitHub團隊發現已有26個開源專案遭攻擊者借殼上架後門程式,同時指出,在調查過程中,Octopus Scanner之C&C中繼站似乎尚未上線,但這不代表遭感染之專案可視為安全無虞,駭客可能藉此複製專案內容進行惡意程式擴散。

 

進一步清查受駭專案後發現,Octopus Scanner至少有4種版本,其中一種會感染下游系統,意指其他GitHub用戶複製受駭專案進行開發,可能會一併繼承這個惡意程式。至於其他3種Octopus Scanner,則是以開發者本機電腦為主要感染目標。

 

此外,由於NetBeans並非Java程式語言最常見之輔助開發工具,因此GitHub團隊認為,假如此次攻擊並非針對性攻擊,表示駭客可能已同時鎖定其他開發環境,如使用Make、MsBuild及Gradle等開發工具之電腦,也可能會出現類似Octopus Scanner惡意程式之攻擊。

Reference

資料來源:

https://securitylab.github.com/research/octopus-scanner-malware-open-source-supply-chain

https://www.scmagazine.com/home/security-news/malware/malware-in-github-hosted-projects-designed-to-spread-among-open-source-developers/

https://www.ithome.com.tw/news/137953