Galeri PowerShell Rawan Typosquatting, Serangan Rantai Pasokan Lainnya

Galeri PowerShell Rawan Typosquatting, Serangan Rantai Pasokan Lainnya

Stempel Waktu: 16 Agustus 2023 9:00
Galeri PowerShell Rentan terhadap Typosquatting, Serangan Rantai Pasokan Lainnya PlatoBlockchain Data Intelligence. Pencarian Vertikal. Ai.

Galeri PowerShell Microsoft menghadirkan risiko rantai pasokan perangkat lunak karena perlindungannya yang relatif lemah terhadap penyerang yang ingin mengunggah paket berbahaya ke repositori online, menurut peneliti di Aqua Nautilus.

Mereka baru-baru ini menguji kebijakan repositori mengenai nama dan pemilik paket dan menemukan bahwa pelaku ancaman dapat dengan mudah menyalahgunakannya untuk memalsukan paket yang sah dan mempersulit pengguna untuk mengidentifikasi pemilik sebenarnya dari sebuah paket.

Gunakan Dengan Hati-hati

“Jika organisasi Anda menggunakan modul PowerShell dari galeri, kami menyarankan hanya menggunakan modul PowerShell yang ditandatangani, memanfaatkan repositori pribadi tepercaya, dan berhati-hati saat mengunduh modul/skrip baru dari registri,” kata Yakir Kadkoda, peneliti keamanan utama di Aqua. “Kedua, kami menyarankan platform serupa dengan Galeri PowerShell untuk mengambil langkah-langkah yang diperlukan guna meningkatkan langkah-langkah keamanan mereka. Misalnya, mereka harus menerapkan mekanisme yang mencegah pengembang mengunggah modul dengan nama yang terlalu mirip dengan yang sudah ada.”

Kadkoda mengatakan Microsoft mengakui masalah tersebut ketika diberitahu tentang masalah tersebut dan mengklaim bahwa pihaknya telah mengatasi dua masalah terpisah. “Namun, kami terus memeriksanya, dan masalah ini masih ada” hingga 16 Agustus, katanya.

Microsoft tidak segera menanggapi permintaan Dark Reading yang meminta komentar.

Galeri PowerShell adalah repositori yang banyak digunakan untuk menemukan, menerbitkan, dan berbagi modul kode PowerShell dan apa yang disebut sumber daya konfigurasi status yang diinginkan (DSC). Banyak paket di registri berasal dari entitas tepercaya, seperti Microsoft, AWS, dan VMware, sementara banyak lainnya berasal dari anggota komunitas. Terdapat lebih dari 1.6 miliar unduhan paket dari repositori sepanjang tahun ini saja.

Terbuka untuk Typosquating

Salah satu masalah yang ditemukan Aqua adalah kurangnya perlindungan terhadap kesalahan ketik, sebuah teknik penipuan yang semakin sering digunakan oleh pelaku ancaman dalam beberapa tahun terakhir untuk mengelabui pengguna agar mengunduh paket berbahaya dari repositori perangkat lunak publik. Typosquatter biasanya menggunakan nama yang secara fonetis mirip dengan nama paket populer dan sah di repositori publik, seperti npm, PyPI, dan Maven. Mereka kemudian mengandalkan pengguna yang membuat kesalahan ketik saat mencari paket-paket ini dan malah mengunduh paket berbahaya mereka. Teknik ini telah menjadi vektor serangan rantai pasokan perangkat lunak yang umum.

Aqua menyadari bahwa kebijakan Galeri PowerShell tidak banyak melindungi dari penipuan semacam itu. Misalnya, nama sebagian besar paket Azure di repositori mengikuti pola tertentu, yaitu, “Az. .” Namun, beberapa paket Azure lain yang sangat populer seperti “Aztable” tidak mengikuti pola tersebut dan tidak memiliki titik pada namanya.  

Aqua menemukan bahwa tidak ada batasan pada awalan yang dapat digunakan oleh pengembang paket saat memberi nama paket mereka. Misalnya, saat peneliti Aqua membuat replika Aztable yang hampir sempurna dan menamakannya Az.Table, mereka tidak kesulitan mengunggah kode bukti konsep (PoC) ke Galeri PowerShell. Kode panggilan balik yang disertakan Aqua dalam PoC menunjukkan bahwa beberapa host di berbagai layanan cloud telah mengunduh paket tersebut dalam beberapa jam pertama saja.

“Menurut pendapat kami, pendaftar lain memiliki tindakan perlindungan yang lebih,” kata Kadkoda. “Misalnya, npm, platform registri lain dari Microsoft, menggunakan aturan 'Moniker' yang dirancang khusus untuk memerangi kesalahan ketik,” katanya. Salah satu contoh: Karena paket bernama “react-native” sudah ada di npm, tidak ada yang memberi label pada modulnya dengan variasi seperti “reactnative”, “react_native”, atau “react.native”.

Identitas Pemilik yang Mudah Dipalsukan

Masalah lain yang ditemukan Aqua dengan kebijakan Galeri PowerShell adalah bagaimana mereka mengizinkan pelaku ancaman membuat paket berbahaya tampak sah dengan memalsukan detail penting seperti bidang Penulis, Deskripsi, dan Hak Cipta. “Seorang penyerang dapat dengan bebas memilih nama apa pun saat membuat pengguna di Galeri PowerShell,” kata Aqua dalam postingan blognya. “Oleh karena itu, menentukan penulis sebenarnya dari modul PowerShell di Galeri PowerShell merupakan tugas yang menantang.”

Pengguna yang tidak menaruh curiga dan menemukan paket-paket ini di Galeri PowerShell dapat dengan mudah tertipu dan percaya bahwa pembuat paket jahat tersebut adalah entitas yang sah, seperti Microsoft, kata Aqua.

Selain itu, analisis Aqua menunjukkan bahwa satu API di Galeri PowerShell pada dasarnya memberi pelaku ancaman cara untuk menemukan modul yang tidak terdaftar di registri — dan kemungkinan data sensitif apa pun yang terkait dengan modul tersebut. Biasanya, modul yang tidak terdaftar bersifat pribadi dan tidak boleh menjadi sesuatu yang dapat ditemukan oleh penyerang melalui pencarian di repositori. Peneliti Aqua menemukan bahwa mereka tidak hanya dapat menarik modul tersebut, mereka juga menemukan modul yang berisi rahasia sensitif milik sebuah perusahaan teknologi besar.

Kadkoda mengatakan tidak ada bukti yang menunjukkan bahwa pelaku ancaman telah memanfaatkan kelemahan ini untuk menyelundupkan paket berbahaya ke Galeri PowerShell. Namun ancamannya nyata. “Penting untuk dicatat bahwa, menurut Microsoft, mereka memindai modul/skrip PowerShell yang diunggah ke galeri,” kata Kadkoda. “Ini adalah langkah yang baik untuk memblokir unggahan berbahaya. Namun, ini masih merupakan permainan kucing-kucingan antara solusi Microsoft dan penyerang.”

Stempel Waktu:

Lebih dari Bacaan gelap