Pacchetti spam nell’npm: cosa sono e perché sono pericolosi?

Cosa richiamano alla mente le parole bakso, sate e rendang? Per molti la risposta è “niente”; i buongustai li riconosceranno come alimenti base indonesiani; mentre chi segue le notizie sulla sicurezza informatica ricorderà un attacco all’ecosistema Node Package Manager (npm), lo strumento che consente agli sviluppatori di utilizzare librerie predefinite invece di scrivere ogni riga di codice da zero.

A metà novembre, il ricercatore sulla sicurezza Paul McCarty ha segnalato la scoperta di una campagna di spam volta a ingombrare il registro npm. Naturalmente, pacchetti privi di significato sono già stati visualizzati nel registro, ma in questo caso sono state trovate decine di migliaia di moduli senza alcuna funzione utile. Il loro unico scopo era iniettare dipendenze del tutto inutili nei progetti.

I nomi dei pacchetti contenevano nomi dei piatti indonesiani inseriti a caso e termini culinari come bakso, sate e rendang, motivo per cui la campagna si è guadagnata il soprannome di “IndonesianFoods”. La portata era impressionante: al momento della scoperta erano stati identificati circa 86.000 colli.

Di seguito, analizziamo com’è successo e cosa stavano effettivamente cercando gli autori degli attacchi.

Approfondimento su IndonesianFoods

A prima vista, i pacchetti di IndonesianFoods non sembravano elementi indesiderati. Presentavano strutture standard, file di configurazione validi e persino documentazione ben formattata. Secondo i ricercatori di Endor Labs, questo camuffamento ha consentito ai pacchetti di persistere nel registro npm per quasi due anni.

Non è che gli autori degli attacchi tentassero in modo aggressivo di inserire le proprie creazioni in progetti esterni. Invece, hanno semplicemente invaso l’ecosistema con codice dall’aspetto legittimo, in attesa che qualcuno commettesse un errore di battitura o scegliesse accidentalmente la propria libreria dai risultati di ricerca. Non è chiaro cosa si debba cercare esattamente per confondere il nome di un pacchetto con un piatto indonesiano, ma la ricerca originale rileva che almeno 11 progetti sono riusciti in qualche modo a includere questi pacchetti nelle proprie build.

Una piccola parte di questi pacchetti indesiderati aveva un meccanismo di autoreplicazione integrato: una volta installati, creavano e pubblicavano i nuovi pacchetti nel registro npm ogni sette secondi. Questi nuovi moduli presentavano nomi casuali (relativi anche alla cucina indonesiana) e numeri di versione, tutti pubblicati, come prevedibile, utilizzando le credenziali della vittima.

Altri pacchetti dannosi integrati con la piattaforma blockchain TEA. Il progetto TEA è stato progettato per premiare i creatori open source con token in proporzione alla popolarità e all’utilizzo del codice, operando teoricamente su un modello “Proof of Contribution”.

Una parte significativa di questi pacchetti non conteneva alcuna funzionalità effettiva, tuttavia spesso contenevano una decina di dipendenze che, come è facile immaginare, indicavano altri progetti di spam nell’ambito della stessa campagna. Pertanto, se una vittima include erroneamente uno di questi pacchetti dannosi, ne trascina molti altri, alcuni dei quali hanno le proprie dipendenze. Il risultato è un progetto finale ingombro di un’enorme quantità di codice ridondante.

Cosa ci guadagnano gli autori degli attacchi?

Le teorie principali sono due. La cosa più ovvia è che l’intera elaborata campagna spam è stata progettata per sfruttare il summenzionato protocollo TEA. In sostanza, senza dare alcun contributo utile alla comunità open source, gli autori degli attacchi guadagnano token TEA, che sono risorse digitali standard che possono essere scambiate con altre criptovalute negli scambi. Utilizzando una rete di dipendenze e meccanismi di autoreplicazione, gli autori degli attacchi si atteggiano a legittimi sviluppatori open source per gonfiare artificialmente l’importanza e le metriche di utilizzo dei propri pacchetti. Nei file README di alcuni pacchetti, gli autori degli attacchi si vantano persino dei propri guadagni.

Tuttavia, c’è una teoria più agghiacciante. Ad esempio, il ricercatore Garrett Calpouzos suggerisce che ciò che stiamo vedendo è semplicemente un proof of concept. La campagna IndonesianFoods potrebbe testare su strada un nuovo metodo di invio di malware destinato a essere venduto successivamente ad altri autori delle minacce.

Perché non dovrebbero esserci elementi indesiderati nei progetti

A prima vista, il pericolo per le organizzazioni di sviluppo software potrebbe non essere evidente: IndonesianFoods ingombra l’ecosistema, ma non sembra comportare una minaccia immediata come ransomware o violazione dei dati.  Tuttavia, le dipendenze ridondanti gonfiano il codice e sprecano le risorse di sistema degli sviluppatori. Inoltre, i pacchetti indesiderati pubblicati a nome dell’organizzazione possono avere gravi ripercussioni sulla reputazione all’interno della comunità di sviluppatori.

Non possiamo nemmeno respingere la teoria di Calpouzos. Se i pacchetti di spam inseriti nel software ricevono un aggiornamento che introduce funzionalità veramente dannose, potrebbero diventare una minaccia non solo per l’organizzazione, ma anche per gli utenti, evolvendosi in un vero e proprio attacco alla supply chain.

Come salvaguardare la vostra organizzazione

I pacchetti spam non si limitano a penetrare autonomamente in un progetto; installarli richiede una mancanza di giudizio da parte dello sviluppatore. È pertanto consigliabile sensibilizzare regolarmente i dipendenti, anche quelli esperti di tecnologia, sulle moderne minacce informatiche. La nostra piattaforma di formazione interattiva, KASAP (Kaspersky Automated Security Awareness Platform), può essere d’aiuto.

È inoltre possibile prevenire l’infezione utilizzando una soluzione specializzata per la protezione degli ambienti containerizzati. Esegue la scansione di immagini e dipendenze di terze parti, si integra nel processo di compilazione e monitora i contenitori durante il runtime.

Per saperne di più sugli attacchi alla supply chain, ti invitiamo a consultare il nostro rapporto analitico Reazione della supply chain: proteggere l’ecosistema digitale globale in un’era di interdipendenza. Si basa sugli approfondimenti di esperti tecnici e rivela la frequenza con la quale le organizzazioni affrontano i rischi della supply chain e delle relazioni di fiducia e come li percepiscono.