Inagaw ng mga Hacker ng Hilagang Korea ang Axios Library sa Sopistikadong Supply Chain Attack na Tumatarget sa Cryptocurrency

Mil-milyong Developer Nalantad Matapos Lasunin ng mga Attacker ang Sikat na Code Repository

Nagsagawa umano ang mga hacker na pinaghihinalaang mula sa Hilagang Korea ng isa sa mga pinakasopistikadong supply chain attack sa mga nagdaang taon, nang mapasok nila ang Axios, isang JavaScript library na dina-download nang humigit-kumulang 100 milyong beses kada linggo. Tumagal nang halos tatlong oras ang pag-atake sa madaling-araw ng Marso 31. Nagpasok ito ng mapaminsalang code sa software na ginagamit ng libu-libong kumpanya sa mga sektor ng pangangalagang pangkalusugan, pananalapi, cryptocurrency exchange, at teknolohiya. Tinataya ng mga security researcher na humigit-kumulang tatlong porsiyento ng mga gumagamit ng library ang nag-download ng mga nahawaang bersyon, na posibleng naglantad sa daan-daang libong sistema sa mga remote access trojan na idinisenyo para magnakaw ng cryptocurrency at mga kredensyal ng negosyo.

Gumaganap ang Axios bilang isang promise-based na HTTP client na nagbibigay-daan sa mga asynchronous API request mula sa Node.js at mga browser, kaya isa itong pundamental na bahagi ng mga modernong web application. Umaasa sa library ang mga kumpanyang mula sa mga tagapagbigay ng serbisyong pangkalusugan hanggang sa mga institusyong pampinansyal para pasimplehin ang paggawa ng website at palitan ng data. Ginagamit din ang software ng ilang cryptocurrency firm at kumpanyang teknolohiya sa industriya ng digital asset, kaya partikular silang mahahalagang puntirya ng mga cyber operation ng Pyongyang na naglalayong kumita. Dahil malawak ang paggamit sa Axios sa mga enterprise environment, lumilikha ang pagkompromiso rito ng sunod-sunod na panganib sa mga downstream dependency at integrated service.

Pormal na iniugnay ng Threat Intelligence Group ng Google ang insidente sa UNC1069, isang grupong banta mula sa Hilagang Korea na kumikilos para kumita at aktibo na mula pa noong 2018. Nakilala ang grupo sa pagtutok sa mga cryptocurrency exchange, decentralized finance platform, at venture capital firm upang pondohan ang mga programang nuklear at missile ng Pyongyang. Ayon sa Mandiant, ang intelligence firm na pag-aari ng Google, ito ang pinakabagong paglala ng kampanya ng Hilagang Korea na gawing sandata ang pandaigdigang software supply chain laban sa mahahalagang target sa ekonomiya.

Ipinaliwanag ni Charles Carmakal, punong opisyal sa teknolohiya ng Mandiant, ang pangmatagalang katangian ng banta.

Inaasahan naming susubukan nilang gamitin ang mga kredensyal at access sa sistema na nakuha nila kamakailan sa supply chain attack na ito sa software para puntiryahin ang mga negosyo at magnakaw ng cryptocurrency. Malamang na aabutin ng ilang buwan bago mataya ang epekto ng kampanyang ito sa mga downstream system.

Ang Paraan ng Supply Chain Compromise

Nagsimula ang pag-atake nang maagaw ng mga hacker ang npm account na pag-aari ng @jasonsaayman, ang pangunahing tagapangasiwa ng Axios library. Sa halip na samantalahin ang mga sopistikadong zero-day vulnerability, gumamit ang mga aktor ng banta ng matagal nang aktibong access token para lampasan ang mga modernong panseguridad na kontrol, kabilang ang mga workflow ng pagpapatotoo batay sa OpenID Connect. Dahil dito, nakapaglabas sila ng dalawang bersiyong nilagyan ng trojan, 1.14.1 at 0.30.4, nang direkta sa Node Package Manager registry, nang hindi nagpapagana ng mga karaniwang security alert o nangangailangan ng multi-factor authentication.

Itinuro ni Hammond ang isang kritikal na depekto sa configuration na nagbigay-daan sa pag-atake. Kahit naka-configure ang OIDC Trusted Publishing sa v1.x branch, ipinasa pa rin ng workflow sa paglalathala ang NPM_TOKEN bilang environment variable kasabay ng mga kredensyal ng OIDC. Kapag kapwa naroon ang mga ito, token ang ginagamit ng npm. Nangangahulugan ito na ang matagal nang aktibong token ang nagsisilbing paraan ng pagpapatotoo para sa lahat ng publisher, anuman ang configuration ng OIDC. Dahil sa pagkukulang na ito sa arkitektura, nalampasan ng mga attacker ang mga pananggalang kahit pinagana ng tagapangasiwa ang multi-factor authentication sa kanyang mga account. Ipinakita nito kung paanong napapahina ng mga lumang mekanismo ng pagpapatotoo ang mga modernong balangkas ng seguridad.

Ipinakita ng mga attacker ang maingat na paghahanda at pasensiya. Labingwalong oras bago ang pangunahing pag-atake, naglathala sila ng malinis na bersyon ng isang phantom dependency na tinatawag na plain-crypto-js upang magkaroon ito ng kasaysayan ng paglalathala at hindi pagdudahan bilang account na walang dating aktibidad. Dalawampung minuto bago ang unang mapaminsalang release ng Axios, inilabas nila ang armadong bersyon ng dependency na ito. Naglalaman ito ng post-installation script na awtomatikong tumatakbo kapag nag-install o nag-update ang mga developer ng nakompromisong library. Sumunod ang ikalawang backdoored release pagkalipas lamang ng 39 minuto, na nagpapahiwatig na inawtomatiko ng grupo ang deployment pipeline nito para mapalawak ang distribusyon sa maikling panahong bukas ang pagkakataon.

Habang nagaganap ang pag-atake, nahirapan ang mga tagapangasiwa na mabawi ang kontrol. Sa isang pampublikong isyu sa GitHub, sinabi ng isang collaborator na hindi nila maalis ang access ng account na responsable sa mapaminsalang paglalathala at binanggit na mas malawak ang mga pahintulot ng attacker kaysa sa kanya. Nauwi ito sa karera laban sa oras habang hawak pa rin ng mga hacker ang karapatang maglathala at nagmamadaling limitahan ng komunidad ng mga developer ang pinsala. Kalaunan ay inalis ng NPM sa publikasyon ang mga mapaminsalang bersyon, tatlong oras matapos ilabas ang mga ito, at naglagay ng security hold sa package na plain-crypto-js. Makalipas ang isang oras, pinalitan ito ng stub na may hawak na panseguridad na proteksiyon.

Cross-Platform Malware na Nagbibigay ng Permanenteng Backdoor

Pagka-install nito, nag-deploy ang mapaminsalang dependency ng isang nilihim na JavaScript dropper na tinawag na SILKBELL. Kumuha ito ng mga payload na iniangkop sa bawat platform mula sa remote command-and-control server na sfrclak.com. Para sa mga Windows system, naghatid ang malware ng mga tool na batay sa PowerShell at kayang magsagawa ng anumang command. Nakatanggap naman ang mga gumagamit ng macOS ng C++ Mach-O binary, habang Python backdoor ang tumarget sa mga Linux installation. Natukoy ng mga security researcher ang malware na ito sa ikalawang yugto bilang WAVESHAPER.V2, isang mas bagong bersyon ng backdoor na iniugnay noon sa UNC1069 sa mga pag-atake sa sektor ng cryptocurrency na nagmula pa noong 2023.

Ipinakikita ng teknikal na arkitektura ng pag-atake ang sinadyang pagtatago at pag-angkop sa platform. Sa halip na direktang baguhin ang source code ng Axios, na makikita sa mga pampublikong repository at maaaring magpasimula ng mga alerto sa pagsusuri ng code, ipinasok ng mga hacker ang mapaminsalang paggana sa pamamagitan ng dependency chain. “Walang kahit isang linya ng mapaminsalang code sa mismong axios, at iyon mismo ang dahilan kung bakit lubhang mapanganib ang pag-atakeng ito,” ayon sa mga researcher ng StepSecurity. Tumakbo ang package na plain-crypto-js sa pamamagitan ng postinstall hook sa package.json nito, kaya tahimik na naipatakbo ang malware habang nag-i-install bago nito burahin ang sarili nitong mga bakas at palitan ng malinis na bersyon ang metadata ng package.

Nakikipag-ugnayan ang WAVESHAPER.V2 sa command-and-control infrastructure nito kada 60 segundo at tumatanggap ng mga pabago-bagong C2 URL sa pamamagitan ng mga command-line argument. Dahil dito, napapalitan ng mga attacker ang kanilang infrastructure nang hindi muling nagde-deploy ng malware. May apat itong pangunahing tungkulin: tapusin ang mga proseso ng execution, ilista ang mga directory kasama ang detalyadong metadata ng file tulad ng mga timestamp at laki, magpatakbo ng mga system command sa pamamagitan ng mga native scripting language gaya ng AppleScript sa macOS o mga shell command sa Linux, at magpasok ng anumang binary sa mga tumatakbong proseso. Natuklasan sa pagsusuri ng Elastic Security Labs na may mga reference ang macOS binary sa mga developer build path na direktang nag-uugnay sa webT module ng BlueNoroff mula sa mga naunang kampanya ng RustBucket at Hidden Risk malware, na lalong nagpapatibay sa atribusyon sa Hilagang Korea.

Makinarya ng Pyongyang para sa Digital na Kita

Naging pangunahing paraan ng pagpopondo ang mga operasyon ng pagha-hack ng Hilagang Korea sa programang nuklear nito na pinapatawan ng mga parusa. Ayon sa mga ulat ng United Nations at mga pagtataya ng White House na inilabas noong 2023, halos kalahati ng pondo para sa pagpapaunlad ng missile ng Pyongyang ay nagmumula sa cyber theft. Nagnakaw ang mga hacker ng bilyun-bilyong dolyar mula sa mga bangko at cryptocurrency firm nitong mga nakaraang taon. Noong nakaraang taon lamang, nagnakaw ang mga operatiba ng Hilagang Korea ng $1.5 bilyong cryptocurrency sa isang nakapagtala ng rekord na heist, na nagpakita ng kakayahan nilang mapasok ang mahahalagang target sa malawakang saklaw.

Ipinaliwanag ni Ben Read, direktor ng strategic threat intelligence sa Wiz, na naiiba ang operasyon ng Hilagang Korea sa iba pang mga aktor na kaanib sa mga bansa.

Hindi inaalala ng Hilagang Korea ang reputasyon nito o ang posibilidad na matukoy kalaunan, kaya bagaman maingay at mataas ang profile ng ganitong mga operasyon, handa silang bayaran ang kapalit nito.

Dahil sa ganitong pagpaparaya sa panganib, nagagawa ng Pyongyang ang lantaran at mapangahas na mga supply chain attack na maaaring iwasan ng ibang bansa dahil sa posibleng diplomatikong epekto o pangambang matukoy ang may kagagawan. Sinusundan ng pagkompromiso sa Axios ang padron na nakita tatlong taon na ang nakararaan, nang umano'y mapasok ng mga operatiba ng Hilagang Korea ang 3CX, isang software provider na ginagamit ng mga kompanya sa pangangalagang pangkalusugan at mga hotel chain para sa voice at video call.

Binigyang-diin ni John Hultquist, punong analyst sa Google Threat Intelligence Group, ang partikular na pagtutok ng grupo sa mga digital asset.

Malawak ang karanasan ng mga hacker ng Hilagang Korea sa mga supply chain attack, na matagal na nilang ginagamit para magnakaw ng cryptocurrency. Hindi pa malinaw ang buong lawak ng insidenteng ito, ngunit dahil popular ang nakompromisong package, inaasahan naming malawak ang magiging epekto nito.

Dati nang tinarget ng UNC1069 ang mga kompanya ng financial technology gamit ang mga pekeng Zoom meeting, mga taktika ng social engineering, at maraming natatanging pamilya ng malware, na nagpapakita ng tuluy-tuloy at nagbabagong pagtutok nito sa ecosystem ng cryptocurrency.

Sunod-Sunod na Kahinaan sa Supply Chain

Naganap ang insidente sa Axios kasabay ng nakababahalang pagdami ng mga supply chain attack na tumatarget sa ecosystem ng open-source software. Nitong nakaraang buwan, tumugon ang mga security team sa sunod-sunod na pagkompromiso, kabilang ang mga pag-atake sa Trivy, isang sikat na security scanning tool; LiteLLM, isang malawakang ginagamit na Python library para sa pagsasama ng AI model; at Telnyx, isang platform ng komunikasyon. Kinumpirma ng Google na walang kaugnayan ang pag-atake sa Axios sa mga kamakailang isyu sa supply chain ng TeamPCP. Gayunman, bawat matagumpay na pagpasok ay nagbibigay sa mga attacker ng bagong mga kredensyal at paunang access sa iba pang repository, na lumilikha ng siklo ng sunod-sunod na pagkompromiso.

Nagbabala si Carmakal na nagdulot ang sunod-sunod na pag-atake nitong nakaraan ng napakalaking imbentaryo ng mga ninakaw na lihim na kredensyal. “Magagamit ang mga lihim na ninakaw nitong nakaraang dalawang linggo para magsagawa ng mas marami pang software supply chain attack, pagkompromiso sa mga software-as-a-service environment na hahantong sa pagkompromiso sa mga downstream customer, ransomware at pangingikil, at mga crypto heist sa mga susunod na araw, linggo, at buwan,” paliwanag niya. “Alam namin ang daan-daang libong ninakaw na kredensyal. Iba't ibang aktor na may sari-saring motibo ang nasa likod ng mga pag-atakeng ito. Malawak ang saklaw ng pinsala mula sa supply chain attack kahapon sa axios npm at umaabot ito sa iba pang sikat na package na may mga dependency rito.”

Binigyang-diin ni Tom Hegel, senior researcher sa SentinelOne, ang di-nakikitang katangian ng banta.

Sa tuwing nagbubukas ka ng website, tinitingnan ang balanse sa bangko, o nagbubukas ng app sa telepono, malamang na tumatakbo sa background ang Axios para maisagawa iyon. Hindi mo kailangang mag-click ng anuman o magkamali. Ang software na pinagkakatiwalaan mo na ang gumawa nito para sa iyo.

Ipinakikita ng pahayag na ito kung paanong sinasamantala ng mga supply chain attack ang likas na tiwalang ibinibigay ng mga gumagamit sa mga kilalang bahagi ng software, at nalalampasan ang tradisyonal na pagsasanay sa kamalayan sa seguridad at mga proteksiyon sa endpoint.

Mga Teknik sa Pag-iwas sa Pagtuklas at mga Panlaban sa Forensic

Nagpatupad ang mga attacker ng sopistikadong hakbang laban sa forensic investigation, kaya mas kumplikado ang pagtugon sa insidente at pagtuklas dito. Matapos tumakbo, hindi lamang binura ng malware ang sarili nitong mga file sa pag-install kundi minanipula rin nito ang pag-uulat ng bersyon upang linlangin ang mga tagapagtanggol. Iniulat ng mapaminsalang package na plain-crypto-js na bersiyon 4.2.0 ito sa halip na 4.2.1, kaya nalito ang mga security team na nagbeberipika sa integridad ng package. Layunin ng pamamaraang ito ng pagpapanggap sa bersyon na papaniwalain ang mga administrator na lehitimong software ang tumatakbo sa kanilang sistema kahit ang aktuwal na na-install nila ay ang nakompromisong bersyon.

Inilarawan ni Tomislav Pericin, punong software architect sa ReversingLabs, ang pag-atake bilang hulmahan para sa mga susunod na operasyon sa halip na isang nakahiwalay na insidente.

Ang antas ng sopistikasyon sa operasyon na naitala rito, kabilang ang nakompromisong mga kredensyal ng tagapangasiwa, mga payload na inihanda nang maaga para sa tatlong operating system, pag-atake sa parehong release branch sa loob ng wala pang 40 minuto, at built-in na pagsira sa sariling bakas para hadlangan ang forensic investigation, ay nagpapakita ng aktor ng banta na nagplano nito bilang operasyong kayang palawakin. Kung lumilitaw na ngayon ang kampanyang ito sa PyPI at NuGet, tugma iyon sa ipinahihiwatig na ng mga mekanismo ng pag-atake: layunin nitong maabot ang pinakamaraming developer.

Kailangang suriin ngayon ng mga organisasyon hindi lamang ang mga npm dependency kundi ang bawat package manager na nagpapakain sa kanilang mga build pipeline. Sinabi ni Hammond na partikular na nakababahala ang tiyempo nito dahil sa kasalukuyang kalakaran ng pag-unlad patungo sa automation. Ayon sa kanya, naganap ang pag-hack sa panahong mabilis ang paglaganap ng mga AI agent na lumilikha ng software sa mga organisasyon nang walang anumang pagsusuri o pananggalang. Hindi lamang direktang mga gumagamit ng Axios ang nanganganib, kundi pati anumang organisasyong awtomatikong kumukuha ng mga dependency sa pamamagitan ng mga development tool nito. Itinuro ni Isaac Evans, tagapagtatag ng Semgrep, na maaari pa ring naapektuhan ang mga developer na nagtakda ng partikular na bersyon, nagpapanatili ng lockfile, at sumunod sa mga karaniwang hakbang sa kalinisan ng sistema dahil kinuha ng kanilang integrated development environment ang dependency sa background.

Pagpapatibay sa Software Supply Chain

Nagmamadali na ngayon ang mga security team sa iba't ibang industriya na tasahin ang lawak ng pagkakalantad at ayusin ang mga nakompromisong sistema. Dapat agad suriin ng mga organisasyong gumagamit ng Axios ang kanilang mga dependency tree kung may bersiyong 1.14.1 at 0.30.4, mag-downgrade sa mga napatunayang ligtas na bersiyon gaya ng 1.14.0 o 0.30.3, at palitan ang lahat ng kredensyal na maaaring na-access sa panahon ng pag-install. Kabilang sa mga teknikal na palatandaan ng pagkompromiso ang presensiya ng plain-crypto-js sa mga node_modules directory, mga koneksiyon sa network patungo sa sfrclak.com (IP address 142.11.206.73), at mga kahina-hinalang proseso sa mga pansamantalang directory gaya ng /Library/Caches/com.apple.act.mond sa mga macOS system.

Kabilang sa mga agarang hakbang sa pag-iwas ang pagtatakda sa mga file na package-lock.json ng mga alam nang ligtas na bersiyon ng Axios upang maiwasan ang di-sinasadyang pag-upgrade, pagsuri kung naroon ang mapaminsalang dependency, paghinto sa anumang natukoy na mapaminsalang proseso, pagharang sa natukoy na command-and-control domain sa mga hangganan ng network, pagbubukod sa mga apektadong sistema mula sa mga production network, at pagpapalit sa lahat ng lihim na kredensyal na maaaring nalantad habang nakompromiso ang sistema. Dapat ding suriin ng mga organisasyon ang mga access log kung may di-awtorisadong paggamit ng mga API key o service account na maaaring nakuha ng malware.

Binigyang-diin ni Ilkka Turunen, field CTO sa Sonatype, ang mga pundamental na isyu sa pagtitiwalang inilantad ng insidenteng ito. “Ipinakikita ng pag-atakeng ito na sinasamantala na ngayon ng mga hacker ang tiwalang ibinibigay ng mga tao sa code, sa halip na sa mismong code,” paliwanag niya. “Ipinakilala ang mapaminsalang kakayahan sa pamamagitan ng isang dependency na inihanda nang maaga at idinisenyong burahin ang sarili nitong mga bakas, kaya mas mahirap mapansin at mas matagal maunawaan ang pag-atake. Hindi lang ito malware; ipinakikita nito ang mas sinadya at mas hinog na plano ng pagkilos.” Binanggit naman ni Mike Puglia, pinuno ng seguridad sa Kaseya, na higit pang patunay ang mga insidente sa kahinaan ng pandaigdigang software ecosystem, kung saan maaaring maglantad sa sampu-sampung libong organisasyon sa loob lamang ng ilang oras ang pagkompromiso sa iisang account.

Mahahalagang Punto

• Nakompromiso ng grupong banta mula sa Hilagang Korea na UNC1069 ang JavaScript library na Axios, na dina-download nang 100 milyong beses kada linggo at ginagamit sa humigit-kumulang 80% ng mga cloud environment
• Mga tatlong oras na naging available noong Marso 31 ang mapaminsalang bersiyong 1.14.1 at 0.30.4. Na-download ang mga ito ng humigit-kumulang 3% ng mga gumagamit, na posibleng katumbas ng 600,000 download
• Gumamit ang pag-atake ng phantom dependency na tinatawag na plain-crypto-js para mag-deploy ng WAVESHAPER.V2, isang cross-platform backdoor na kayang makahawa sa mga Windows, macOS, at Linux system
• Inaasahan ng Google Mandiant na gagamitin ng grupo ang mga ninakaw na kredensyal sa pangmatagalang operasyon ng pagnanakaw ng cryptocurrency upang pondohan ang mga programang nuklear at missile ng Hilagang Korea
• May mga advanced na kakayahan ang malware laban sa forensic investigation, kabilang ang pagbura sa sarili at pagpapanggap sa bersyon sa pamamagitan ng pag-uulat na 4.2.0 ito sa halip na 4.2.1 upang makaiwas sa pagtuklas
• Dapat suriin ng mga organisasyon ang mga dependency tree, palitan ang lahat ng kredensyal, harangan ang C2 domain na sfrclak.com at IP na 142.11.206.73, at agad mag-downgrade sa mga ligtas na bersiyon ng Axios
• Naganap ang pagkompromiso sa pamamagitan ng matagal nang aktibong access token na lumampas sa mga kontrol ng pagpapatotoo ng OIDC, na nagpapakita ng pangangailangang alisin ang mga lumang kredensyal