حملات زنجیره‌ی تأمین در سال 2024

20 بهمن 1403 حملات زنجیره‌ی تأمین در سال 2024

روابط عمومی شرکت ایدکو (توزیع‌کننده‌ی محصولات کسپرسکی در ایران)؛ جلوگیری از حملات زنجیره تأمین به شدت سخت است زیرا بخش قابل‌ملاحظه‌ای از حمله در زیرساختی رخ می‌دهد که تحت اختیار و کنترل تیم امنیتی نیست. این باعث شده حملات زنجیره تأمین خطرناک‌ترین تهدیدها در سال‌های اخیر باشند و امروز قرار است نگاهی داشته باشیم بر بزرگ‌ترین حملات زنجیره تأمین سال 2024.

ژانویه 2024: پکیج‌های npm مخرب، کلیدهای SSH را از صدها توسعه‌دهنده در گیت‌هاب سرقت کردند

اولین حمله بزرگ زنجیره تأمین در سال 2024 شامل پکیج‌های مخرب npm می‌شود که اوایل ماه ژانویه در گیت‌هاب آپلود شدند. هدف اصلی این ماژول‌ها که warbeast2000 و kodiak2k نام دارند، جستجوی سیستم‌های آلوده برای کلیدهای ssh و ارسال دوباره‌شان به مجرمان سایبری بود. برخی نسخه‌های kodiak2k همچنین دارای اسکریپتی بود برای لانچ Mimikatz که ابزاری بود استفاده‌شده برای استخراج پسوردها از مموری. به طور کلی، مهاجمین تصمیم داشتند هشت نسخه ازwarbeast2000  و بیش از 30 نسخه از kodiak2k را نشر دهند. زمانیکه آن‌ها کشف شدند و ازمخزن حذف شدند، پکیج‌های آلوده از قبل (به ترتیب) 412 و 1281 بار دانلود شده بودند و این یعنی بالقوه صدها توسعه‌دهنده در معرض قرار گرفتند.

فوریه 2024: پک‌های رهاشده‌ی PyPI استفاده‌شده برای توزیع سارق داده‌ی NovaSentinel

 در فوریه سال 2024، آپدیت مخربی در پکیج django-log-tracker که روی PyPI[1] میزبانی می‌شد کشف شد. آخرین نسخه‌ی قانونی این ماژول سال 2022 منتشر شد و از آن زمان به بعد، توسط سازندگان خود رها شد. اینطور که پیداست، مهاجمین تصمیم داشتند اکانت PyPI توسعه‌دهنده را سرقت کنند و نسخه‌ی مخرب خود را از پکیج آپلود نمایند. این آپدیت مخرب فقط حاوی دو فایل با کد بسیار ساده و یکسان بود؛ همه محتواهای اورجینال ماژول پاک شد.

مارس 2024: بک‌دری ایمپلنت‌شده در توزیع‌های محبوب لینوکس با استفاده از XZ Utils

اواخر مارس گزارشی داشتیم از یک رخداد که می‌توانست بالقوه به خطرناک‌ترین حمله زنجیره تأمین 2024 با پیامدهای مخرب تبدیل شود. به عنوان عملیات پیچیده‌ای که دو سال و نیم طول کشید، کاربر گیت‌هاب به نام ژیا تان تصمیم گرفت کنترل پروژه‌ی XZ Utils را –مجموعه‌ای از ابزارهای فشرده شامل‌شده در بسیاری از توزیع‌های محبوب لینوکسی- دست گیرد. ژیا با کنترل کردن این پروژه دو نسخه‌ی پکیج را (5.6.0 و 5.6.1) را که هر دو بک‌در داشتند منتشر کرد. در نتیجه، آرشیو دستکاری‌شده‌ی liblzma در نسخه‌های تستی توزیع‌های لینوکس شامل شد. طبق گفته‌های ایگور کوزنتسوف، رئیس تیم GReAT کسپرسکی، آسیب‌پذیری CVE-2024-3094 می‌توانست بزرگ‌ترین حمله به اکوسیستم لینوکس باشد. اگر این آسیب‌پذیری در توزیع‌های پایدار معرفی می‌شد، ممکن بود شاهد آسیب‌های گسترده سرور باشیم.  خوشبختانه، CVE-2024-3094 در توزیع‌های آزمایشی و انتشاری شناسایی شد، بنابراین اکثر کاربران لینوکس ایمن باقی ماندند.

آوریل 2024: پروژه‌های مخرب Visual Studio روی گیت‌هاب، بدافزار توزیع کردند

در ماه آوریل، حمله‌ای که هدفش کاربران گیت‌هاب بود کشف‌شد. در این حمله مهاجمین پروژه‌های مخرب Visual Studio را منتشر کردند. برای کمک به حمله، مهاجمین با مهارت، الگوریتم سرچ گیت‌هاب را دستکاری کردند. ابتدا از نام‌ها و موضوعات محبوب برای پروژه‌های خود استفاده کردند و بعد کلی اکانت فیک برای ستاره‌گذاریِ پروژه‌های مخرب خود ساختند که نوعی ایجاد توهمِ محبوبیت باشد! سوم اینکه به طور خودکار به‌روزرسانی‌های مکرر را منتشر و تغییرات بی‌معنی در فایلی که صرفاً برای این منظور ارائه شده است، ایجاد می‌کنند. این کاری می‌کرد پروژه‌هایشان در مقایسه با جایگزین‌های موجود به نظر تازه و به روز بیاید. داخل این پروژه‌ها، بدافزاری مشابه با Keyzetsu Clipper پنهان شده بود. این بدافزار آدرس‌های کیف پول ارزهای دیجیتال کپی‌شده در کلیپ بورد را رهگیری کرده و جایگزین می‌کند.  در نتیجه، تراکنش‌های رمزنگاری شده در سیستم آلوده به جای گیرنده مورد نظر به مهاجمان هدایت می‌شود.

می 2024: بک‌دری در نرم افزار ضبط ویدیوی دادگاه JAVS کشف شد

در ماه می 2024، گزارش‌هایی در مورد تروجانیزه‌شدن نرم افزار ضبط دادگاه JAVS منتشر شد. این سیستم به طور گسترده در موسسات قضایی و سایر سازمان‌های مرتبط با اجرای قانون استفاده می‌شود و حدود 10000 نصب در سراسر جهان دارد. یک دراپر در فایل ffmpeg.exe  پیدا شد. این دراپر مجموعه‌ای از اسکریپت‌های مخرب را روی سیستم‌های آلوده اجرا می‌کند که برای دور زدن مکانیسم‌های امنیتی ویندوز، دانلود ماژول‌های اضافی و جمع‌آوری اطلاعات لاگین طراحی شده‌اند.

ژوئن 2024: ده‌ها هزار وبسایت با استفاده ازPolyfill.io کد مخرب تحویل دادند

در اواخر ژوئن، دامنه cdn.polyfill.io شروع به توزیع کدهای مخرب برای بازدیدکنندگان وبسایت‌های متکی به سرویس Polyfill.io کرد. کاربران از طریق یک دامنه جعلی جعل هویت گوگل آنالیتیکس www[.]googie-anaiytics[.]com) ) به یک سایت شرط بندی ورزشی به زبان ویتنامی هدایت شدند.

Polyfill.io در اصل توسط Financial Times ایجاد شد تا اطمینان حاصل شود که وبسایت‌ها با مرورگرهای قدیمی یا کمتر رایج سازگار هستند. با این حال، در سال 2024، همراه با دامنه و حساب GitHub آن به ارائه‌دهنده CDN چینی Funnull فروخته شد - و مشکل از اینجا شروع شد. با گذشت سالها، Polyfill.io بسیار محبوب شد. حتی در زمان وقوع رخدادها، بیش از 100000 وب‌سایت در سراسر جهان - از جمله بسیاری از وب‌سایت‌های پرمخاطب - همچنان از پلی‌فیل‌ها استفاده می‌کردند، حتی اگر دیگر به آن‌ها نیازی نباشد. پس از این حمله، خالق اصلی Polyfill.io به کاربران توصیه کرد استفاده از این سرویس را متوقف کنند. با این حال، اسکریپت در حال حاضر هنوز در ده‌ها هزار وب سایت وجود دارد.

جولای 2024: نسخه jQuery تروجان‌زده در npm، GitHub و jsDelivr یافت شد

در ماه جولای، یک نسخه تروجان‌زده از jQuery-  کتابخانه محبوب جاوا اسکریپت که برای ساده کردن تعامل با "مدل شی سند[2]" HTML (DOM) استفاده می‌شود - کشف شد. در طول چند ماه، مهاجمان موفق شدند ده‌ها بسته آلوده را در رجیستری npm منتشر کنند. jQuery تروجان‌زده همچنین در پلت‌فرم‌های دیگر، از جمله GitHub و حتی jsDelivr n یافت شد - یک سرویس CDN برای ارائه کد جاوا اسکریپت. با وجود به خطر افتادن، نسخه‌های تروجان‌زده jQuery کاملاً کاربردی باقی ماندند. تفاوت اصلی با کتابخانه اصلی گنجاندن کدهای مخرب طراحی شده برای جمع‌آوری تمام داده‌های کاربر وارد شده در فرم‌های صفحه‌های آلوده و ارسال آن به یک آدرس تحت کنترل مهاجم بود.

آگست 2024: پلاگین آلوده برای پیام‌رسان چندپروتکلیِ Pidgin

اواخر آگست، یکی از پلاگین‌های منتشرشده روی صفحه‌ی رسمی مسنجر  Pidgin در حالیکه داشت بدافزار چندکاربره‌‌ی DarkGate را که به مهاجمین اجازه‌ی دسترسی ریموت به سیستم‌های آلوده می‌دهد (جایی که می‌توانند بدافزارهای اضافی را نصب کنند) را توزیع می‌کرد یافت شد. Pidgin یک مسنجر منبع باز همه‌کاره است که به کاربران اجازه می‌دهد در سراسر سیستم‌های چندگانه پیام‌رسان و پروتکل‌ها بدون نصب اپ‌های جداگانه تعامل و ارتباط‌گیری کنند. گرچه از دوران اوج محبوبیت  Pidgin گذشته اما هنوز توسط مشتاقان فناوری و طرفداران نرم‌افزارهای منبع باز هنوز به شدت استفاده می‌شود. افزونه ss-otr آلوده ScreenShareOTR) ) برای اشتراک‌گذاری صفحه از طریق پروتکل Off-The-Record (OTR) طراحی شده است - یک پروتکل رمزنگاری برای پیام‌رسانی فوری امن.  این بدان معنی است که مهاجمین به طور خاص کاربرانی را هدف قرار داده‌اند که حریم خصوصی و ارتباطات ایمن را در اولویت قرار می‌دهند.

سپتامبر 2024: سرقت پروژه‌های پاک‌شده‌ روی PyPI

در ماه سپتامبر، محققین مطالعه‌ای را منتشر کردند که در آن امکان تئوری ربودن پروژه‌های حذف شده PyPI -  یا نام آنها را بررسی کرد. این موضوع به این دلیل است که پس از حذف یک بسته، هیچ چیز مانع از ایجاد یک پروژه جدید با همان نام نمی‌شود. در نتیجه، توسعه دهندگانی که درخواست به روز رسانی برای بسته حذف شده می‌کنند، در نهایت یک نسخه جعلی و مخرب را دانلود می‌کنند. بطور کلی محققین بیش از 22 هزار پروژه‌ی PyPI را که به این حمله آسیب‌پذیر بودند پیدا کردند. افزون بر این آن‌ها کشف کردند که این تهدید فقط در مرحله‌ی تئوری نیست: متود حمله در محیط بیرون از قبل مشاهده شده بود! برای محافظت از برخی از واضح‌ترین اهداف پرخطر، محققین نام برخی از پروژه‌های محبوب حذف شده را در حساب امنی که ایجاد کردند، ثبت کردند.

اکتبر 2024: اسکریپت مخرب در  LottieFiles Lottie-Player

در اواخر اکتبر، یک حمله زنجیره تأمین LottieFiles Lottie-Player، یک کتابخانه مبتنی بر JSON برای پخش انیمیشن‌های سبک وزن مورد استفاده در برنامه‌های موبایل و وب را هدف قرار داد. مهاجمان به طور همزمان چندین نسخه از Lottie-Player ( 2.0.5، 2.0.6 و 2.0.7) حاوی کدهای مخرب را منتشر کردند. در نتیجه، یک cryptodrainer در سایت‌هایی که از این کتابخانه استفاده می‌کردند ظاهر شد. حداقل یک سرقت رمزنگاری بزرگ تایید شده که قربانی نزدیک به 10 بیت کوین (بیش از 700 000 دلار آمریکا در زمان وقوع رخداد) را از دست داده است.

نوامبر 2024: JarkaStealer در مخزن  PyPI یافت شد

در ماه نوامبر، متخصصین ما از GReAT دو پکیج مخرب را در مخزن  PyPI کشف کردند: claudeai-eng و  gptplus. این پکیج‌ها بیش از یک سال است روی PyPI موجود بوده‌اند- بیش از 1700 بار توسط کاربران بالای 30 کشور دانلود شدند. بسته‌ها به عنوان کتابخانه‌هایی برای تعامل با چت‌ربات‌های محبوب هوش مصنوعی قرار گرفتند. با این حال، در واقعیت، claudeai-eng و gptplus فقط توابع اعلام شده خود را با استفاده از نسخه آزمایشی ChatGPT تقلید کردند. هدف واقعی آنها نصب بدافزار JarkaStealer بود. همانطور که ممکن است از نام آن حدس بزنید، این یک infodealer است. رمزهای عبور را می دزدد و داده های مرورگر را ذخیره می کند، نشانه های جلسه را از برنامه های محبوب (تلگرام، دیسکورد، استیم) استخراج، اطلاعات سیستم را جمع آوری می کند و از صفحه نمایش عکس می گیرد.

دسامبر 2024: مدل Ultralytics YOLO11 AI در PyPI آلوده شده است

در ماه دسامبر، یک حمله زنجیره تأمین دیگر با موضوع هوش مصنوعی از طریق مخزن PyPI انجام شد. این بار، این حمله بسته محبوب Ultralytics [3]YOLO11  را هدف قرار داد - یک مدل هوش مصنوعی پیشرفته برای تشخیص در لحظه‌ی اشیاء در جریان‌های ویدیویی. کاربرانی که کتابخانه Ultralytics YOLO11 را، چه به صورت مستقیم و چه به صورت وابستگی، نصب کرده‌اند، ناآگاهانه cryptominer XMRig Miner را نیز نصب کرده‌اند.

راهکار امنیتی

برای توصیه‌های دقیق در مورد جلوگیری از حملات زنجیره تأمین، راهنمای اختصاصی ما را بررسی کنید. در اینجا نکات اصلی وجود دارد:

 

  •         همیشه کدهای مورد استفاده در پروژه‌های خود را با دقت بررسی کنید.
  •         برای ردیابی وابستگی‌ها و مؤلفه‌ها، لایحه مواد نرم افزاری SBOM) ) را حفظ کنید.
  •         با استفاده از راهکار امنیتی کلاس XDR، فعالیت‌های مشکوک را در شبکه شرکتی خود نظارت کنید.
  •         اگر تیم امنیت داخلی شما فاقد منابع کافی است، از یک سرویس خارجی برای شناسایی و پاسخ به موقع تهدید استفاده کنید.

 

[1] Python Package Index

[2] Document Object Model

[3] You Only Look Once

 

 

کسپرسکی آنلاین (ایدکو)

کسپرسکی اسم یکی از بزرگترین شرکتهای امنیتی و سازنده آنتی ویروس است که برخی از کاربران اشتباهاً این شرکت و محصولات آنتی ویروس آن را با عناوینی نظیر کسپرسکای،کاسپرسکی، کسپراسکای، کسپراسکای، و یا کاسپراسکای نیز می‌شناسد. همچنین لازم به ذکر است مدیرعامل این شرکت نیز یوجین کسپرسکی نام دارد.

محصولات مرتبط

  • Kaspersky Internet Security for Android

    امنیت پیشرفته‌ای که همیشه همراه شماست بخش مهمی از زندگی اکثر ما اکنون روی گوشی‌ها و تبلت‌هاست- پس به امنیت موبایلی نیاز دارید که شما را همیشه امن نگه ...

    10,017,950 ریال
    خرید
  • Kaspersky Cloud Password Manager

    Kaspersky Cloud Password Manager ابزار مدیریت کلمه عبور ابری کسپرسکی (KCPM) ضمن ذخیره ایمن تمامی کلمات عبور مورد استفاده شما برای وبسایت‌ها، اپلیکیشن‌ها، و شبکه‌های اجتماعی آنها را در تمامی ...

    15,031,700 ریال
    خرید
  • Kaspersky Safe Kids

    اپلیکیشن همه‌کاره برای فرزندپروریِ دیجیتال و سلامت خانواده نرم افزار امنیت کودکان کسپرسکی، نظارت‌های والدین را آسان می‌کند. ردیابی مکان و عادات دستگاه، محدودسازی محتوا، متعادل‌سازی ...

    7,515,850 ریال15,031,700 ریال
    خرید
  • Kaspersky Security Cloud Personal

    تمام اپ‌های امنیتیِ ما در دستانتان. به کل خانواده‌ی اپ‌های ما برای دسکتاپ و موبایل دسترسی پیدا کنید. از آنتی‌ویروس گرفته تا ابزارهای حریم خصوصی و اجرایی، هر کدام را به میل ...

    100,265,450 ریال
    خرید
  • Kaspersky Standard

    سیستم امنیتی بهبودیافته به همراه تقویت‌کننده عمکرد دستگاه طرح امنیتی استاندارد ما، نه تنها سیستم امنیتی قدرتمندی را برای انواع ویروس‌ها، بدفزارها و باج‌افزارها ارائه می‌دهد ...

    14,181,750 ریال28,363,500 ریال
    خرید
  • Kaspersky Plus

    امنیت. کارایی. حریم خصوصی. همه در یک برنامه با کاربری آسان کسپرسکی پلاس با ارائه امنیت سایبری نسل بعد، شما در برابر ویروس‌ها، باج‌افزارها و بدافزارهای جدید محافظت کند - بدون ...

    20,336,725 ریال40,673,450 ریال
    خرید
  • Kaspersky Premium

    حفاظت کامل از دستگاه ها، حریم خصوصی و هویت شما با محصول Kaspersky Premium تمام نیازهای امنیتی خود و خانواده‌تان را پوشش دهید. حفاظت پیشرفته ...

    21,754,900 ریال43,509,800 ریال
    خرید
  • Kaspersky Small Office Security

    محافظت در حین کار Kaspersky Small Office Security به طور خاص برای سازمان‌هایی طراحی شده است که 5 تا 50 دستگاه کامپیوتر در خود جای داده‌اند. نصب آن بسیار آسان است؛ مدیریت آن ...

    90,242,725 ریال180,485,450 ریال
    خرید
  • Kaspersky Small Office Security

    امنیت ادارات کوچک

    288,782,450 ریال
    خرید
  • Kaspersky Small Office Security

    امنیت ادارات کوچک

    108,292,225 ریال216,584,450 ریال
    خرید
  • Kaspersky Small Office Security

    346,941,950 ریال
    خرید
  • Kaspersky Small Office Security

    126,341,725 ریال252,683,450 ریال
    خرید
  • Kaspersky Small Office Security

    404,098,700 ریال
    خرید
  • Kaspersky Small Office Security

    144,391,225 ریال288,782,450 ریال
    خرید
  • Kaspersky Small Office Security

    462,258,200 ریال
    خرید
  • Kaspersky Small Office Security

    162,440,725 ریال324,881,450 ریال
    خرید
  • Kaspersky Small Office Security

    519,414,950 ریال
    خرید
  • Kaspersky Small Office Security

    165,448,975 ریال330,897,950 ریال
    خرید
  • Kaspersky Small Office Security

    529,442,450 ریال
    خرید
  • Kaspersky Small Office Security

    233,134,600 ریال466,269,200 ریال
    خرید
  • Kaspersky Small Office Security

    746,036,450 ریال
    خرید
  • Kaspersky Small Office Security

    300,820,225 ریال601,640,450 ریال
    خرید
  • Kaspersky Small Office Security

    962,630,450 ریال
    خرید
  • Kaspersky Small Office Security

    363,492,100 ریال726,984,200 ریال
    خرید
  • Kaspersky Small Office Security

    1,163,180,450 ریال
    خرید
  • Kaspersky Small Office Security

    689,385,850 ریال1,378,771,700 ریال
    خرید
  • Kaspersky Small Office Security

    2,206,040,450 ریال
    خرید

نظر خودتان را ارسال کنید


کاربر گرامی چنانچه تمایل دارید، نقد یا نظر شما به نام خودتان در سایت ثبت شود، لطفاً وارد سایت شوید.
*نظر
کلیه حقوق مادی و معنوی این سایت محفوظ و متعلق به شرکت گسترش خدمات تجارت الکترونیک ایرانیان است و هر گونه کپی برداری از آن پیگرد قانونی دارد