В последно време специалисти по киберсигурност откриха нова вълна от зловредни npm пакети, които се представят за легитимни инструменти за Rollup polyfills, но всъщност са създадени с цел кражба на данни от разработчици. Тези пакети са свързани с групи, имащи връзки със Северна Корея, което допълнително повишава нивото на тревога в технологичната общност.
Какво се случи?
Според анализа на компанията за сигурност JFrog, пакетите с имена „rollup-packages-polyfill-core“ и „rollup-runtime-polyfill-core“ имитират легитимния проект „rollup-plugin-polyfill-node“. Те копират описания, метаданни и други детайли, за да заблудят потребителите и да бъдат инсталирани без съмнение. След инсталацията тези пакети осигуряват отдалечен достъп на атакуващите и събират конфиденциална информация от средата на разработка.
Защо това е важно?
Екосистемата на JavaScript и npm е една от най-широко използваните в света на софтуерната разработка. Зависимостите от външни пакети са обичайна практика, което ги прави потенциална врата за злонамерени действия. Когато подобни пакети успеят да се внедрят в проектите, те могат да компрометират не само отделни разработчици, но и цели компании, които разчитат на тези инструменти за своята продукция и сигурност.
По-широк контекст
Зловредните зависимости не са ново явление, но нарастващата сложност и обем на софтуерните проекти увеличават риска. Атаките, свързани с държавни актьори като Северна Корея, показват, че киберпрестъпността и кибершпионажът все повече се насочват към софтуерните вериги за доставки. Това изисква по-висока степен на внимание и по-добри практики за проверка и управление на зависимостите.
Какво може да последва?
Тази ситуация подчертава необходимостта от засилване на мерките за сигурност при използване на външни библиотеки и инструменти. Разработчиците и организациите трябва да прилагат по-строги проверки на пакетите, които интегрират, включително използване на инструменти за сканиране на уязвимости и поведение. Освен това, общността на npm и други платформи вероятно ще засилят контрола и мониторинга на публикуваните пакети, за да ограничат разпространението на подобни заплахи.
В заключение, инцидентът с тези зловредни npm пакети е ясен сигнал за необходимостта от повишена бдителност и по-стриктни стандарти в управлението на софтуерните зависимости, особено в контекста на нарастващите киберзаплахи от държавни актьори.
