Bewertung v1.2, deterministisch berechnet. Bedrohungswert und Konfidenz sind getrennte Größen.Methodik
Packagist Supply Chain Attack Infects 8 Packages Using GitHub-Hosted Linux Malware
A new "coordinated" supply chain attack campaign has impacted eight packages on Packagist including malicious code designed to run a Linux binary retrieved from a GitHub Releases URL. "Although the affected packages were all Composer packages, the malicious code was not added to composer.json,"...
SecBoard-Einordnung
Diese Angriffe können zur Ausführung von bösartigem Code in Entwicklungsumgebungen oder Produktionssystemen führen, die die kompromittierten Pakete nutzen. Die Umgehung von composer.json deutet auf eine raffinierte Methode hin, die herkömmliche Überprüfungen umgehen könnte.
Realistisch schlimmster Fall: Erfolgreiche Ausführung des heruntergeladenen Linux-Binaries, was zu einer vollständigen Kompromittierung der betroffenen Systeme führen könnte, auf denen die infizierten Pakete installiert oder ausgeführt werden.
Empfehlung: Überprüfen Sie die Integrität und Herkunft aller verwendeten Packagist-Pakete, insbesondere auf ungewöhnliche Code-Änderungen oder externe Abhängigkeiten, die nicht in composer.json deklariert sind. Implementieren Sie strenge Code-Reviews und Sandboxing für Build-Prozesse.
Betroffen
Organisationen, die von Packagist gehostete Composer-Pakete verwenden, insbesondere die acht betroffenen Pakete (nicht im Artikel spezifiziert).
Prüfen
3- ▸Defensive check 1: Überprüfen Sie Ihre Composer-Projekte auf die Verwendung der acht betroffenen Packagist-Pakete (nicht im Artikel spezifiziert) und auf ungewöhnliche Code-Änderungen, die nicht in composer.json deklariert sind.
- ▸Defensive check 2: Überwachen Sie den Netzwerkverkehr von Build-Servern und Entwicklungsumgebungen auf ausgehende Verbindungen zu unbekannten GitHub Releases URLs oder anderen verdächtigen externen Quellen.
▸ 1 weitere▾ weniger
- ▸Defensive check 3: Führen Sie statische und dynamische Code-Analysen für alle verwendeten Drittanbieter-Pakete durch, um potenziell bösartigen Code oder unerwartete Binärdateien zu identifizieren.
Offene Punkte
3▸ anzeigen▾ ausblenden
- ▸Die genauen Namen der acht betroffenen Packagist-Pakete sind nicht im Artikel spezifiziert.
- ▸Der genaue Inhalt und die Funktionalität des heruntergeladenen Linux-Binaries sind nicht im Artikel spezifiziert.
- ▸Die spezifischen Angriffsvektoren, wie der bösartige Code in die Pakete injiziert wurde, sind nicht im Artikel spezifiziert.
MITRE ATT&CK(4)
Techniken aus allen Quellen zusammengeführt — nach Stärke des Belegs sortiert.
„retrieved from a GitHub Releases URL“
„A new "coordinated" supply chain attack campaign has impacted eight packages on Packagist“
„malicious code designed to run a Linux binary“
„Although the affected packages were all Composer packages, the malicious code was not added to composer.json“
Mehrere Herkünfte bei derselben Technik heißt: mehrere unabhängige Wege führen dorthin.
Verlauf der Belege
Wann welche Quelle den Vorgang zuerst berichtet hat — nicht der Ablauf des Angriffs selbst.
- SecurityWeekKontextOver 320 NPM Packages Hit by Fresh Mini Shai-Hulud Supply Chain Attack
- The Hacker NewsKontextPackagist Supply Chain Attack Infects 8 Packages Using GitHub-Hosted Linux Malware
Der Vorgang wird seit 3 Tagen berichtet.
Quellen & Belege· 2 unterschiedliche Quellen
Redaktionelle Berichterstattung, meist Zweitverwertung einer Primaerquelle.
Redaktionelle Berichterstattung, meist Zweitverwertung einer Primaerquelle.
- Ausschliesslich redaktionelle Berichterstattung, keine Primaer- oder Technikquelle im Bestand.
- Unabhaengigkeit meint den Herausgeber. Zwei Haeuser, die dieselbe Herstellermeldung nacherzaehlen, gelten hier weiter als zwei Belege.