แฮกเกอร์เกาหลีเหนือยึดไลบรารี Axios ในปฏิบัติการโจมตีห่วงโซ่อุปทานอย่างซับซ้อน มุ่งเป้าขโมยคริปโทเคอร์เรนซี

นักพัฒนาหลายล้านคนเสี่ยงถูกโจมตี หลังแฮกเกอร์วางโค้ดอันตรายในคลังซอฟต์แวร์ยอดนิยม

แฮกเกอร์ที่ต้องสงสัยว่าเป็นชาวเกาหลีเหนือก่อเหตุโจมตีห่วงโซ่อุปทานครั้งหนึ่งที่มีความซับซ้อนด้านปฏิบัติการสูงที่สุดในช่วงที่ผ่านมา โดยเจาะระบบ Axios ไลบรารี JavaScript ที่มีผู้ดาวน์โหลดประมาณ 100 ล้านครั้งต่อสัปดาห์ การโจมตีซึ่งกินเวลาราวสามชั่วโมงในช่วงเช้ามืดของวันที่ 31 มีนาคม ได้แทรกโค้ดอันตรายลงในซอฟต์แวร์ที่บริษัทหลายพันแห่งในภาคสาธารณสุข การเงิน ตลาดแลกเปลี่ยนคริปโทเคอร์เรนซี และเทคโนโลยีใช้งาน นักวิจัยด้านความปลอดภัยประเมินว่า ผู้ใช้ไลบรารีราว 3% ดาวน์โหลดเวอร์ชันที่ถูกฝังโค้ดอันตราย ซึ่งอาจทำให้ระบบหลายแสนระบบเสี่ยงต่อโทรจันเพื่อการเข้าถึงจากระยะไกล ที่ออกแบบมาเพื่อขโมยคริปโทเคอร์เรนซีและข้อมูลรับรองขององค์กร

Axios เป็นไคลเอนต์ HTTP ที่ทำงานบนพื้นฐานของ Promise ช่วยให้ส่งคำขอ API แบบไม่ประสานเวลาได้ทั้งจาก Node.js และเบราว์เซอร์ จึงเป็นองค์ประกอบพื้นฐานของเว็บแอปพลิเคชันสมัยใหม่ บริษัทตั้งแต่ผู้ให้บริการด้านสาธารณสุขไปจนถึงสถาบันการเงินต่างพึ่งพาไลบรารีนี้เพื่อให้การสร้างเว็บไซต์และการแลกเปลี่ยนข้อมูลง่ายขึ้น บริษัทคริปโทเคอร์เรนซีบางแห่งและบริษัทเทคโนโลยีที่ดำเนินธุรกิจเกี่ยวกับสินทรัพย์ดิจิทัลก็ใช้ซอฟต์แวร์นี้เช่นกัน จึงเป็นเป้าหมายที่มีมูลค่าสูงเป็นพิเศษสำหรับปฏิบัติการไซเบอร์ของเปียงยางที่มุ่งหารายได้ การใช้งาน Axios อย่างแพร่หลายในระบบองค์กรทำให้การเจาะระบบครั้งนี้สร้างความเสี่ยงต่อเนื่องไปยังส่วนประกอบที่ต้องพึ่งพาและบริการที่เชื่อมต่อกัน

กลุ่มข่าวกรองภัยคุกคามของ Google ระบุอย่างเป็นทางการว่าเหตุการณ์นี้เป็นฝีมือของ UNC1069 กลุ่มผู้ก่อภัยคุกคามชาวเกาหลีเหนือที่มีแรงจูงใจทางการเงินและเคลื่อนไหวอย่างน้อยตั้งแต่ปี 2018 กลุ่มนี้มีประวัติมุ่งเป้าไปที่ตลาดแลกเปลี่ยนคริปโทเคอร์เรนซี แพลตฟอร์มการเงินแบบกระจายศูนย์ และบริษัทเงินร่วมลงทุน เพื่อสนับสนุนโครงการนิวเคลียร์และขีปนาวุธของเปียงยาง Mandiant บริษัทข่าวกรองที่ Google เป็นเจ้าของ ระบุว่า เหตุการณ์นี้เป็นการยกระดับล่าสุดในปฏิบัติการของเกาหลีเหนือที่มุ่งใช้ประโยชน์จากห่วงโซ่อุปทานซอฟต์แวร์ทั่วโลกเพื่อโจมตีเป้าหมายทางเศรษฐกิจมูลค่าสูง

Charles Carmakal ประธานเจ้าหน้าที่ฝ่ายเทคโนโลยีของ Mandiant อธิบายถึงลักษณะภัยคุกคามที่อาจส่งผลในระยะยาว

เราคาดว่าพวกเขาจะพยายามใช้ข้อมูลรับรองและสิทธิ์เข้าถึงระบบที่เพิ่งได้มาในการโจมตีห่วงโซ่อุปทานซอฟต์แวร์ครั้งนี้ เพื่อมุ่งเป้าและขโมยคริปโทเคอร์เรนซีจากองค์กรต่าง ๆ การประเมินผลกระทบต่อเนื่องจากปฏิบัติการนี้น่าจะต้องใช้เวลาหลายเดือน

John Hammond นักวิจัยด้านความปลอดภัยจาก Huntress รายงานว่า บริษัทของเขาตรวจพบอุปกรณ์ที่ถูกเจาะระบบแล้วประมาณ 135 เครื่อง ซึ่งเป็นของบริษัทประมาณ 12 แห่ง อย่างไรก็ตาม เขาคาดว่านี่เป็นเพียงระลอกแรกของการค้นพบ ขณะที่องค์กรต่าง ๆ กำลังตรวจสอบทางนิติวิทยาศาสตร์ให้เสร็จสิ้น

กลไกของการเจาะห่วงโซ่อุปทาน

การโจมตีเริ่มขึ้นเมื่อแฮกเกอร์ยึดบัญชี npm ของ @jasonsaayman ซึ่งเป็นผู้ดูแลหลักของไลบรารี Axios แทนที่จะอาศัยช่องโหว่ซีโร่เดย์ที่ซับซ้อน ผู้ก่อภัยคุกคามใช้โทเคนการเข้าถึงที่มีอายุการใช้งานยาวนานเพื่อหลบเลี่ยงมาตรการรักษาความปลอดภัยสมัยใหม่ รวมถึงขั้นตอนการยืนยันตัวตนด้วย OpenID Connect วิธีนี้เปิดทางให้พวกเขาเผยแพร่ซอฟต์แวร์ที่ถูกฝังโทรจันสองเวอร์ชัน ได้แก่ 1.14.1 และ 0.30.4 ไปยังรีจิสทรี Node Package Manager โดยตรง โดยไม่กระตุ้นการแจ้งเตือนด้านความปลอดภัยตามปกติและไม่ต้องผ่านการยืนยันตัวตนหลายปัจจัย

Hammond ชี้ให้เห็นข้อบกพร่องสำคัญในการตั้งค่าที่เอื้อให้เกิดการโจมตี แม้แต่ในสายเวอร์ชัน v1.x ซึ่งตั้งค่า OIDC Trusted Publishing ไว้แล้ว ขั้นตอนการเผยแพร่ก็ยังส่ง NPM_TOKEN เป็นตัวแปรสภาพแวดล้อมควบคู่ไปกับข้อมูลรับรอง OIDC เมื่อมีทั้งสองอย่าง npm จะเลือกใช้โทเคน นั่นหมายความว่าโทเคนที่มีอายุการใช้งานยาวนานเป็นวิธียืนยันตัวตนที่ผู้เผยแพร่ทุกรายใช้จริง โดยไม่ขึ้นกับการตั้งค่า OIDC ช่องโหว่ด้านการออกแบบนี้ทำให้ผู้โจมตีหลบเลี่ยงระบบป้องกันได้ แม้ผู้ดูแลจะเปิดใช้การยืนยันตัวตนหลายปัจจัยกับบัญชีของตนแล้วก็ตาม แสดงให้เห็นว่ากลไกยืนยันตัวตนแบบเก่าสามารถบั่นทอนกรอบความปลอดภัยสมัยใหม่ได้อย่างไร

ผู้โจมตีเตรียมการอย่างรอบคอบและอดทน สิบแปดชั่วโมงก่อนการโจมตีหลัก พวกเขาเผยแพร่แพ็กเกจ dependency ลวงชื่อ plain-crypto-js เวอร์ชันที่สะอาด เพื่อสร้างประวัติการเผยแพร่และไม่ให้บัญชีที่ไม่มีประวัติการเผยแพร่ดูน่าสงสัย ยี่สิบนาทีก่อนเผยแพร่ Axios เวอร์ชันอันตรายครั้งแรก พวกเขาส่งเวอร์ชันติดอาวุธของ dependency นี้ ซึ่งมีสคริปต์หลังการติดตั้งที่ออกแบบให้ทำงานโดยอัตโนมัติเมื่อนักพัฒนาติดตั้งหรืออัปเดตไลบรารีที่ถูกเจาะระบบ การเผยแพร่เวอร์ชันที่ฝังแบ็กดอร์ครั้งที่สองตามมาในอีกเพียง 39 นาที บ่งชี้ว่ากลุ่มดังกล่าวทำให้ขั้นตอนการเผยแพร่เป็นระบบอัตโนมัติ เพื่อกระจายซอฟต์แวร์ให้ได้มากที่สุดในช่วงเวลาสั้น ๆ ที่มี

ระหว่างการโจมตี ผู้ดูแลโครงการเผชิญความยากลำบากอย่างมากในการยึดการควบคุมกลับคืนมา ผู้ร่วมโครงการรายหนึ่งระบุในประเด็นสาธารณะบน GitHub ว่าไม่สามารถเพิกถอนสิทธิ์ของบัญชีที่ใช้เผยแพร่โค้ดอันตรายได้ และชี้ว่าผู้โจมตีมีสิทธิ์สูงกว่าตน สถานการณ์นี้กลายเป็นการแข่งขันกับเวลา ขณะที่แฮกเกอร์ยังคงมีสิทธิ์เผยแพร่ และชุมชนนักพัฒนาพยายามควบคุมความเสียหาย ในที่สุด NPM ก็ถอดเวอร์ชันอันตรายออกหลังเผยแพร่ไปสามชั่วโมง พร้อมระงับแพ็กเกจ plain-crypto-js ด้วยมาตรการรักษาความปลอดภัย และอีกหนึ่งชั่วโมงต่อมาก็แทนที่แพ็กเกจด้วยไฟล์ตัวแทนที่ใช้สำหรับระงับการเผยแพร่

มัลแวร์ข้ามแพลตฟอร์มติดตั้งแบ็กดอร์ถาวร

เมื่อติดตั้งแล้ว dependency อันตรายจะปล่อยตัวดาวน์โหลด JavaScript ที่ผ่านการพรางโค้ดและมีชื่อว่า SILKBELL ซึ่งไปดึงเพย์โหลดเฉพาะสำหรับแต่ละแพลตฟอร์มจากเซิร์ฟเวอร์สั่งการและควบคุมระยะไกลที่ sfrclak.com สำหรับระบบ Windows มัลแวร์ส่งเครื่องมือที่ใช้ PowerShell ซึ่งสามารถเรียกใช้คำสั่งใด ๆ ได้ตามต้องการ ส่วนผู้ใช้ macOS จะได้รับไบนารี Mach-O ที่เขียนด้วย C++ ขณะที่ระบบ Linux ตกเป็นเป้าของแบ็กดอร์ Python นักวิจัยด้านความปลอดภัยระบุว่ามัลแวร์ขั้นที่สองนี้คือ WAVESHAPER.V2 ซึ่งเป็นเวอร์ชันพัฒนาต่อยอดจากแบ็กดอร์ที่เคยเชื่อมโยงกับ UNC1069 ในการโจมตีภาคธุรกิจคริปโทเคอร์เรนซีตั้งแต่ปี 2023

สถาปัตยกรรมทางเทคนิคของการโจมตีแสดงให้เห็นถึงการพรางตัวและการรับรู้แพลตฟอร์มที่ผ่านการวางแผนมาอย่างจงใจ แทนที่จะแก้ไขซอร์สโค้ดของ Axios โดยตรง ซึ่งจะมองเห็นได้ในรีโพซิทอรีสาธารณะและอาจกระตุ้นการแจ้งเตือนระหว่างตรวจทานโค้ด แฮกเกอร์แทรกความสามารถในการทำงานอันตรายผ่านสาย dependency นักวิจัยจาก StepSecurity ระบุว่า “ไม่มีโค้ดอันตรายแม้แต่บรรทัดเดียวอยู่ในตัว axios และนั่นเองที่ทำให้การโจมตีนี้อันตรายมาก” แพ็กเกจ plain-crypto-js ทำงานผ่านฮุก postinstall ในไฟล์ package.json ทำให้มัลแวร์ทำงานอย่างเงียบ ๆ ระหว่างติดตั้ง ก่อนลบร่องรอยของตัวเองและแทนที่ข้อมูลเมตาของแพ็กเกจด้วยเวอร์ชันที่สะอาด

WAVESHAPER.V2 ส่งสัญญาณไปยังโครงสร้างพื้นฐานสั่งการและควบคุมทุก 60 วินาที และรับ URL ของ C2 ที่เปลี่ยนแปลงได้ผ่านอาร์กิวเมนต์บรรทัดคำสั่ง การออกแบบนี้ช่วยให้ผู้โจมตีเปลี่ยนโครงสร้างพื้นฐานได้โดยไม่ต้องติดตั้งมัลแวร์ใหม่ แบ็กดอร์รองรับฟังก์ชันหลักสี่อย่าง ได้แก่ ยุติกระบวนการทำงาน แจกแจงไดเรกทอรีพร้อมข้อมูลเมตาของไฟล์โดยละเอียด เช่น เวลาและขนาด เรียกใช้คำสั่งระบบผ่านภาษาสคริปต์ที่มีอยู่ในระบบ เช่น AppleScript บน macOS หรือคำสั่งเชลล์บน Linux และแทรกไบนารีใด ๆ เข้าไปในกระบวนการที่กำลังทำงาน การวิเคราะห์ของ Elastic Security Labs พบว่าไบนารี macOS อ้างอิงเส้นทางบิลด์ของนักพัฒนาที่เชื่อมโยงโดยตรงกับโมดูล webT ของ BlueNoroff ซึ่งเคยใช้ในปฏิบัติการมัลแวร์ RustBucket และ Hidden Risk ก่อนหน้านี้ ยิ่งตอกย้ำข้อสรุปว่าผู้ก่อเหตุเป็นชาวเกาหลีเหนือ

เครื่องจักรสร้างรายได้ดิจิทัลของเปียงยาง

ปฏิบัติการแฮ็กของเกาหลีเหนือพัฒนาจนกลายเป็นกลไกหลักในการระดมทุนให้โครงการอาวุธนิวเคลียร์ที่ถูกคว่ำบาตรของประเทศ รายงานของสหประชาชาติและประมาณการของทำเนียบขาวที่เผยแพร่ในปี 2023 ระบุว่า เงินทุนราวครึ่งหนึ่งสำหรับการพัฒนาขีปนาวุธของเปียงยางมาจากการโจรกรรมทางไซเบอร์ โดยแฮกเกอร์ขโมยเงินหลายพันล้านดอลลาร์จากธนาคารและบริษัทคริปโทเคอร์เรนซีในช่วงหลายปีที่ผ่านมา เฉพาะปีที่แล้ว ปฏิบัติการของเกาหลีเหนือขโมยคริปโทเคอร์เรนซีมูลค่า 1.5 พันล้านดอลลาร์จากการปล้นครั้งเดียวที่มีมูลค่าสูงสุดเป็นประวัติการณ์ แสดงให้เห็นความสามารถในการเจาะเป้าหมายมูลค่าสูงในวงกว้าง

Ben Read ผู้อำนวยการฝ่ายข่าวกรองภัยคุกคามเชิงยุทธศาสตร์ของ Wiz อธิบายว่า เกาหลีเหนือดำเนินการต่างจากผู้ก่อภัยคุกคามที่เป็นรัฐอื่น ๆ

เกาหลีเหนือไม่กังวลเรื่องชื่อเสียงหรือการถูกระบุตัวในที่สุด ดังนั้นแม้ปฏิบัติการลักษณะนี้จะสร้างเสียงดังและเป็นข่าวใหญ่ แต่พวกเขาก็ยอมจ่ายราคานั้น

การยอมรับความเสี่ยงเช่นนี้เปิดทางให้เปียงยางลงมือโจมตีห่วงโซ่อุปทานอย่างโจ่งแจ้ง ซึ่งประเทศอื่นอาจหลีกเลี่ยงเพราะกังวลผลกระทบทางการทูตหรือการถูกระบุตัว การเจาะระบบ Axios เป็นไปตามรูปแบบที่เกิดขึ้นเมื่อสามปีก่อน ซึ่งปฏิบัติการของเกาหลีเหนือถูกกล่าวหาว่าแทรกซึม 3CX ผู้ให้บริการซอฟต์แวร์ที่บริษัทด้านสาธารณสุขและเครือโรงแรมใช้สำหรับการโทรด้วยเสียงและวิดีโอ

John Hultquist หัวหน้านักวิเคราะห์ของกลุ่มข่าวกรองภัยคุกคาม Google เน้นย้ำว่ากลุ่มนี้มุ่งเป้าสินทรัพย์ดิจิทัลโดยเฉพาะ

แฮกเกอร์เกาหลีเหนือมีประสบการณ์อย่างลึกซึ้งในการโจมตีห่วงโซ่อุปทาน ซึ่งในอดีตพวกเขาใช้เพื่อขโมยคริปโทเคอร์เรนซี ขอบเขตทั้งหมดของเหตุการณ์นี้ยังไม่ชัดเจน แต่เมื่อพิจารณาจากความนิยมของแพ็กเกจที่ถูกเจาะระบบ เราคาดว่าจะเกิดผลกระทบในวงกว้าง

ก่อนหน้านี้ UNC1069 เคยมุ่งเป้าไปที่บริษัทเทคโนโลยีทางการเงิน โดยใช้การประชุม Zoom ปลอม กลวิธีวิศวกรรมสังคม และมัลแวร์หลายตระกูลที่มีลักษณะเฉพาะ แสดงให้เห็นว่ากลุ่มนี้มุ่งเน้นระบบนิเวศคริปโทเคอร์เรนซีอย่างต่อเนื่องและปรับเปลี่ยนวิธีการอยู่เสมอ

ช่องโหว่ห่วงโซ่อุปทานที่ลุกลามเป็นวงกว้าง

เหตุการณ์ Axios เกิดขึ้นท่ามกลางกระแสการโจมตีห่วงโซ่อุปทานที่พุ่งสูงขึ้นอย่างน่ากังวล โดยมุ่งเป้าไปที่ระบบนิเวศซอฟต์แวร์โอเพนซอร์ส ในช่วงเดือนที่ผ่านมา ทีมรักษาความปลอดภัยต้องรับมือกับเหตุเจาะระบบที่เกิดขึ้นต่อเนื่องเป็นลูกโซ่ รวมถึงการโจมตี Trivy เครื่องมือสแกนความปลอดภัยยอดนิยม, LiteLLM ไลบรารี Python ที่ใช้กันแพร่หลายสำหรับเชื่อมต่อโมเดล AI และ Telnyx แพลตฟอร์มการสื่อสาร แม้ Google ยืนยันว่าการโจมตี Axios ไม่เกี่ยวข้องกับปัญหาห่วงโซ่อุปทานของ TeamPCP ที่เกิดขึ้นเมื่อไม่นานมานี้ แต่การเจาะระบบที่สำเร็จแต่ละครั้งทำให้ผู้โจมตีได้ข้อมูลรับรองใหม่และช่องทางเข้าถึงรีโพซิทอรีเพิ่มเติม ก่อให้เกิดวงจรการเจาะระบบที่ดำเนินต่อไปได้ด้วยตัวเอง

Carmakal เตือนว่าการโจมตีระลอกล่าสุดทำให้มีข้อมูลลับที่ถูกขโมยสะสมอยู่เป็นจำนวนมหาศาล เขาอธิบายว่า ข้อมูลลับที่ถูกขโมยในช่วงสองสัปดาห์ที่ผ่านมา จะเอื้อให้เกิดการโจมตีห่วงโซ่อุปทานซอฟต์แวร์เพิ่มขึ้น การเจาะสภาพแวดล้อมซอฟต์แวร์ในรูปแบบบริการซึ่งนำไปสู่การเจาะระบบลูกค้าปลายทาง เหตุเรียกค่าไถ่และกรรโชกทรัพย์ รวมถึงการปล้นคริปโทเคอร์เรนซี ในช่วงหลายวัน หลายสัปดาห์ และหลายเดือนข้างหน้า เขากล่าวว่า “เราทราบว่ามีข้อมูลรับรองถูกขโมยหลายแสนรายการ การโจมตีเหล่านี้เกิดจากผู้ก่อเหตุหลายกลุ่มที่มีแรงจูงใจแตกต่างกัน ผลกระทบจากการโจมตีห่วงโซ่อุปทาน npm ของ axios เมื่อวานนี้มีวงกว้าง และยังส่งผลถึงแพ็กเกจยอดนิยมอื่น ๆ ที่พึ่งพาแพ็กเกจนี้ด้วย”

Tom Hegel นักวิจัยอาวุโสของ SentinelOne เน้นย้ำถึงลักษณะที่มองไม่เห็นของภัยคุกคามนี้

ทุกครั้งที่คุณเปิดเว็บไซต์ ตรวจสอบยอดเงินในบัญชีธนาคาร หรือเปิดแอปในโทรศัพท์ มีโอกาสสูงที่ Axios กำลังทำงานอยู่เบื้องหลังเพื่อให้สิ่งเหล่านั้นใช้ได้ คุณไม่ต้องคลิกอะไรหรือทำพลาด ซอฟต์แวร์ที่คุณไว้วางใจอยู่แล้วเป็นคนทำให้เกิดขึ้น

ข้อสังเกตนี้สะท้อนให้เห็นว่าการโจมตีห่วงโซ่อุปทานใช้ประโยชน์จากความไว้วางใจโดยปริยายที่ผู้ใช้มีต่อส่วนประกอบซอฟต์แวร์ที่เป็นที่ยอมรับ จึงหลบเลี่ยงการฝึกอบรมความตระหนักด้านความปลอดภัยแบบเดิมและระบบป้องกันปลายทางได้

เทคนิคหลบเลี่ยงและมาตรการรับมือทางนิติวิทยาศาสตร์

ผู้โจมตีใช้มาตรการต่อต้านนิติวิทยาศาสตร์ที่ซับซ้อน ทำให้การตอบสนองต่อเหตุการณ์และการตรวจจับทำได้ยากขึ้น หลังทำงานแล้ว มัลแวร์ไม่เพียงลบไฟล์ติดตั้งของตัวเอง แต่ยังบิดเบือนการรายงานเวอร์ชันเพื่อหลอกผู้ป้องกันด้วย แพ็กเกจ plain-crypto-js อันตรายรายงานว่าตัวเองเป็นเวอร์ชัน 4.2.0 แทนที่จะเป็น 4.2.1 ทำให้ทีมรักษาความปลอดภัยสับสนเมื่อตรวจสอบความถูกต้องของแพ็กเกจ เทคนิคปลอมแปลงเวอร์ชันนี้มีเป้าหมายเพื่อทำให้ผู้ดูแลระบบเชื่อว่าระบบกำลังใช้ซอฟต์แวร์ที่ถูกต้อง ทั้งที่ติดตั้งเวอร์ชันที่ถูกเจาะระบบไปแล้ว

Tomislav Pericin สถาปนิกซอฟต์แวร์อาวุโสของ ReversingLabs ระบุว่า การโจมตีครั้งนี้เป็นต้นแบบของปฏิบัติการในอนาคต ไม่ใช่เหตุการณ์ที่เกิดขึ้นโดดเดี่ยว

ความซับซ้อนด้านปฏิบัติการที่พบในกรณีนี้ ทั้งข้อมูลรับรองของผู้ดูแลที่ถูกเจาะ เพย์โหลดที่เตรียมไว้ล่วงหน้าสำหรับระบบปฏิบัติการสามระบบ การโจมตีสายการเผยแพร่ทั้งสองสายภายในไม่ถึง 40 นาที และการทำลายหลักฐานทางนิติวิทยาศาสตร์ที่ติดตั้งมาด้วย สะท้อนว่าผู้ก่อภัยคุกคามวางแผนปฏิบัติการนี้ให้ขยายขนาดได้ หากตอนนี้เริ่มพบปฏิบัติการนี้ใน PyPI และ NuGet ก็สอดคล้องกับสิ่งที่กลไกการโจมตีบ่งชี้อยู่แล้ว นั่นคือเป้าหมายคือการเข้าถึงนักพัฒนาให้ได้มากที่สุด

ขณะนี้องค์กรต่าง ๆ ต้องตรวจสอบแพ็กเกจทุกตัวที่ป้อนเข้าสู่กระบวนการบิลด์ ไม่ใช่เฉพาะ dependency ของ npm เท่านั้น Hammond ระบุว่าจังหวะเวลาของการโจมตีน่ากังวลเป็นพิเศษ เมื่อพิจารณาจากแนวโน้มการพัฒนาซอฟต์แวร์ที่หันไปใช้ระบบอัตโนมัติมากขึ้น เขากล่าวว่าแฮ็กครั้งนี้เกิดขึ้นถูกจังหวะอย่างยิ่ง เมื่อองค์กรต่าง ๆ นำเอเจนต์ AI ที่สร้างซอฟต์แวร์โดยไม่มีการตรวจทานหรือมาตรการกำกับดูแลมาใช้อย่างรวดเร็ว ความเสี่ยงไม่ได้จำกัดอยู่แค่ผู้ใช้ Axios โดยตรง แต่รวมถึงองค์กรใด ๆ ที่เครื่องมือพัฒนาสามารถแก้ไข dependency ได้โดยอัตโนมัติ Isaac Evans ผู้ก่อตั้ง Semgrep ชี้ว่า แม้แต่นักพัฒนาที่กำหนดเวอร์ชันไว้อย่างเจาะจง ใช้ไฟล์ล็อก และปฏิบัติตามหลักสุขอนามัยพื้นฐาน ก็ยังอาจได้รับผลกระทบได้ เพราะสภาพแวดล้อมการพัฒนาแบบบูรณาการของพวกเขาดึง dependency เข้ามาเบื้องหลัง

การรักษาความปลอดภัยห่วงโซ่อุปทานซอฟต์แวร์

ขณะนี้ทีมรักษาความปลอดภัยในหลายอุตสาหกรรมกำลังเร่งประเมินความเสี่ยงและแก้ไขระบบที่ถูกเจาะ องค์กรที่ใช้ Axios ต้องตรวจสอบ dependency tree โดยทันทีว่ามีเวอร์ชัน 1.14.1 และ 0.30.4 หรือไม่ ปรับลดเป็นเวอร์ชันที่ยืนยันแล้วว่าปลอดภัย เช่น 1.14.0 หรือ 0.30.3 และเปลี่ยนข้อมูลรับรองทั้งหมดที่อาจเข้าถึงได้ในช่วงติดตั้ง ตัวบ่งชี้ทางเทคนิคของการถูกเจาะระบบ ได้แก่ การพบ plain-crypto-js ในไดเรกทอรี node_modules การเชื่อมต่อเครือข่ายไปยัง sfrclak.com (หมายเลข IP 142.11.206.73) และกระบวนการที่น่าสงสัยในไดเรกทอรีชั่วคราว เช่น /Library/Caches/com.apple.act.mond บนระบบ macOS

มาตรการบรรเทาความเสี่ยงทันที ได้แก่ กำหนดให้ใช้ Axios เวอร์ชันที่ทราบว่าปลอดภัยในไฟล์ package-lock.json เพื่อป้องกันการอัปเกรดโดยไม่ตั้งใจ ตรวจสอบว่ามี dependency อันตรายหรือไม่ ยุติกระบวนการอันตรายที่ตรวจพบ บล็อกโดเมนสั่งการและควบคุมที่ระบุในขอบเขตเครือข่าย แยกระบบที่ได้รับผลกระทบออกจากเครือข่ายใช้งานจริง และเปลี่ยนข้อมูลลับและข้อมูลรับรองทั้งหมดที่อาจถูกเปิดเผยในช่วงที่เกิดการเจาะระบบ นอกจากนี้ องค์กรควรตรวจสอบบันทึกการเข้าถึงเพื่อหาการใช้คีย์ API หรือบัญชีบริการโดยไม่ได้รับอนุญาต ซึ่งมัลแวร์อาจเก็บรวบรวมไป

Ilkka Turunen ประธานเจ้าหน้าที่ฝ่ายเทคโนโลยีภาคสนามของ Sonatype เน้นย้ำถึงปัญหาพื้นฐานด้านความไว้วางใจที่เหตุการณ์นี้เปิดเผย เขาอธิบายว่า “การโจมตีครั้งนี้แสดงให้เห็นว่าแฮกเกอร์กำลังใช้ประโยชน์จากความไว้วางใจที่ผู้คนมีต่อโค้ด มากกว่าตัวโค้ดเอง ความสามารถอันตรายถูกนำเข้ามาผ่าน dependency ที่จัดฉากไว้ และออกแบบให้ลบร่องรอยของตัวเอง ทำให้ตรวจพบได้ยากขึ้นและใช้เวลาทำความเข้าใจนานขึ้น นี่ไม่ใช่แค่มัลแวร์ แต่สะท้อนถึงแผนปฏิบัติการที่รอบคอบและมีวุฒิภาวะมากขึ้น” Mike Puglia ผู้บริหารด้านความปลอดภัยของ Kaseya ระบุว่า เหตุการณ์เหล่านี้ยิ่งตอกย้ำความเปราะบางของระบบนิเวศซอฟต์แวร์ทั่วโลก ซึ่งการเจาะบัญชีเพียงบัญชีเดียวอาจเปิดเผยองค์กรนับหมื่นแห่งได้ภายในไม่กี่ชั่วโมง

ประเด็นสำคัญ

• กลุ่มผู้ก่อภัยคุกคามชาวเกาหลีเหนือ UNC1069 เจาะไลบรารี JavaScript Axios ซึ่งมียอดดาวน์โหลด 100 ล้านครั้งต่อสัปดาห์ และมีใช้งานอยู่ในสภาพแวดล้อมคลาวด์ประมาณ 80%
• เวอร์ชันอันตราย 1.14.1 และ 0.30.4 เปิดให้ดาวน์โหลดเป็นเวลาประมาณสามชั่วโมงในวันที่ 31 มีนาคม โดยมีผู้ใช้ราว 3% ดาวน์โหลด คิดเป็นจำนวนที่อาจสูงถึง 600,000 ครั้ง
• การโจมตีใช้ dependency ลวงชื่อ plain-crypto-js เพื่อติดตั้ง WAVESHAPER.V2 แบ็กดอร์ข้ามแพลตฟอร์มที่สามารถติดระบบ Windows, macOS และ Linux
• Google Mandiant คาดว่ากลุ่มดังกล่าวจะใช้ข้อมูลรับรองที่ขโมยมาเพื่อปฏิบัติการขโมยคริปโทเคอร์เรนซีในระยะยาว สำหรับสนับสนุนโครงการนิวเคลียร์และขีปนาวุธของเกาหลีเหนือ
• มัลแวร์มีความสามารถต่อต้านนิติวิทยาศาสตร์ขั้นสูง ทั้งการลบตัวเองและปลอมแปลงเวอร์ชันให้รายงานว่าเป็น 4.2.0 แทน 4.2.1 เพื่อหลบเลี่ยงการตรวจจับ
• องค์กรต้องตรวจสอบ dependency tree เปลี่ยนข้อมูลรับรองทั้งหมด บล็อกโดเมน C2 sfrclak.com และ IP 142.11.206.73 พร้อมปรับลด Axios เป็นเวอร์ชันที่ปลอดภัยทันที
• การเจาะระบบเกิดขึ้นผ่านโทเคนการเข้าถึงที่มีอายุยาวนาน ซึ่งหลบเลี่ยงระบบควบคุมการยืนยันตัวตน OIDC ชี้ให้เห็นถึงความจำเป็นในการจัดการข้อมูลรับรองเก่าที่ค้างอยู่