Pengembang .NET Ditargetkan Dengan Paket NuGet Berbahaya

Selusin paket pembuat roti yang dihosting di repositori NuGet untuk pengembang perangkat lunak .NET sebenarnya adalah komponen Trojan berbahaya yang akan membahayakan sistem instalasi dan mengunduh malware pencuri kripto dengan fungsionalitas pintu belakang.

Perusahaan keamanan rantai pasokan perangkat lunak JFrog menyatakan dalam analisis yang diterbitkan 21 Maret bahwa 13 paket, yang telah dihapus, telah diunduh lebih dari 166,000 kali dan meniru perangkat lunak sah lainnya, seperti Coinbase dan Microsoft ASP.NET. JFrog mendeteksi serangan tersebut ketika peneliti perusahaan mencatat aktivitas mencurigakan ketika sebuah file — init.ps1 — dijalankan saat penginstalan dan kemudian mengunduh file yang dapat dieksekusi dan menjalankannya.

Penemuan kode berbahaya menyoroti bahwa penyerang semakin bercabang ke dalam rantai pasokan perangkat lunak sebagai cara untuk mengkompromikan pengembang yang tidak waspada, meskipun bahasa pemrograman .NET dan C# kurang dikenal di kalangan penyerang, kata Shachar Menashe, direktur penelitian keamanan untuk JFrog.

“Teknik untuk mengeksekusi kode berbahaya pada penginstalan paket NuGet, meski sepele, kurang didokumentasikan dibandingkan dengan Python atau JavaScript, dan beberapa di antaranya sudah tidak digunakan lagi, sehingga beberapa penyerang pemula mungkin berpikir itu tidak mungkin,” katanya. “Dan mungkin NuGet memiliki pemfilteran otomatis yang lebih baik dari paket berbahaya.”

Rantai pasokan perangkat lunak semakin menjadi sasaran penyerang dengan upaya untuk mengkompromikan sistem pengembang atau menyebarkan kode tanpa diketahui ke pengguna akhir melalui aplikasi pengembang. Python Package Index (PyPI) dan ekosistem Node Package Manager (npm) yang berfokus pada JavaScript adalah sering target serangan rantai pasokan menargetkan proyek sumber terbuka.

Serangan terhadap ekosistem perangkat lunak .NET, yang terdiri dari hampir 350,000 paket unik, adalah pertama kalinya paket jahat menargetkan NuGet, menurut JFrog, meskipun perusahaan mencatat bahwa kampanye spam telah sebelumnya mendorong tautan phishing ke pengembang.

Typosquatting Masih Masalah

Serangan tersebut menggarisbawahi bahwa kesalahan ketik terus menjadi masalah. Gaya serangan itu melibatkan pembuatan paket dengan nama yang mirip — atau nama yang sama dengan kesalahan ejaan yang umum — sebagai paket yang sah, dengan harapan pengguna akan salah mengetik paket umum atau tidak akan menyadari kesalahannya.

Pengembang harus memberikan tampilan yang baik pada paket baru sebelum memasukkannya ke dalam proyek pemrograman, peneliti JFrog Natan Nehorai dan Brian Moussalli menulis dalam penasehat online.

“Meskipun tidak ada serangan kode berbahaya sebelumnya yang diamati di repositori NuGet, kami dapat menemukan bukti untuk setidaknya satu kampanye baru-baru ini menggunakan metode seperti kesalahan ketik untuk menyebarkan kode berbahaya,” tulis mereka. “Seperti repositori lainnya, langkah-langkah keamanan harus diambil di setiap langkah siklus hidup pengembangan perangkat lunak untuk memastikan rantai pasokan perangkat lunak tetap aman.”

Eksekusi Kode Langsung Bermasalah

File yang dijalankan secara otomatis oleh alat pengembangan merupakan kelemahan keamanan dan harus dihilangkan atau dibatasi untuk mengurangi area permukaan serangan, kata para peneliti. Fungsionalitas itu adalah alasan penting mengapa ekosistem npm dan PyPI memiliki masalah peracunan, dibandingkan dengan, katakanlah, ekosistem paket Go.

“Terlepas dari fakta bahwa paket berbahaya yang ditemukan telah dihapus dari NuGet, pengembang .NET masih berisiko tinggi dari kode berbahaya karena paket NuGet masih berisi fasilitas untuk menjalankan kode segera setelah instalasi paket,” kata para peneliti JFrog di posting blog. . “[A] meskipun sudah usang, skrip [inisialisasi] masih dihormati oleh Visual Studio dan akan berjalan tanpa peringatan apa pun saat menginstal paket NuGet.”

JFrog menyarankan pengembang untuk memeriksa kesalahan ketik dalam paket yang diimpor dan diinstal dan mengatakan bahwa pengembang harus memastikan untuk tidak "menginstalnya secara tidak sengaja dalam proyek mereka, atau menyebut mereka sebagai ketergantungan," kata perusahaan itu.

Selain itu, pengembang harus melihat isi paket untuk memastikan tidak ada file yang dapat dieksekusi yang diunduh dan dieksekusi secara otomatis. Meskipun file seperti itu biasa terjadi di beberapa ekosistem perangkat lunak, file tersebut biasanya merupakan indikasi niat jahat.

Melalui berbagai penanggulangan, repositori NuGet — serta npm dan PyPI — secara perlahan, tapi pasti, menghilangkan kelemahan keamanan, kata Menashe dari JFrog. 

“Saya tidak berharap NuGet menjadi target yang lebih besar di masa depan, terutama jika pengelola NuGet menghapus sepenuhnya dukungan untuk menjalankan kode pada penginstalan paket — yang sebagian telah mereka lakukan,” katanya.

• Konten Bertenaga SEO & Distribusi PR. Dapatkan Amplifikasi Hari Ini.
• Platoblockchain. Intelijen Metaverse Web3. Pengetahuan Diperkuat. Akses Di Sini.
• Sumber: https://www.darkreading.com/application-security/net-devs-targeted-with-malicious-nuget-packages