PowerShell Gallery soggetta a typosquatting e altri attacchi alla supply chain

PowerShell Gallery soggetta a typosquatting e altri attacchi alla supply chain

Timestamp: 16 agosto 2023 9:00
Galleria PowerShell soggetta a typosquatting e altri attacchi alla catena di fornitura PlatoBlockchain Data Intelligence. Ricerca verticale. Ai.

La PowerShell Gallery di Microsoft presenta un rischio per la catena di fornitura del software a causa delle sue protezioni relativamente deboli contro gli aggressori che desiderano caricare pacchetti dannosi nel repository online, secondo i ricercatori dell'Aqua Nautilus.

Recentemente hanno testato le politiche del repository relative ai nomi e ai proprietari dei pacchetti e hanno scoperto che un autore di minacce potrebbe facilmente abusarne per falsificare pacchetti legittimi e rendere difficile per gli utenti identificare il vero proprietario di un pacchetto.

Usare con cautela

"Se la tua organizzazione utilizza moduli PowerShell dalla galleria, ti suggeriamo di utilizzare solo moduli PowerShell firmati, utilizzare repository privati ​​affidabili e prestare attenzione quando scarichi nuovi moduli/script dai registri", afferma Yakir Kadkoda, capo ricercatore sulla sicurezza presso Aqua. “In secondo luogo, consigliamo alle piattaforme simili a PowerShell Gallery di adottare le misure necessarie per migliorare le proprie misure di sicurezza. Ad esempio, dovrebbero implementare un meccanismo che impedisca agli sviluppatori di caricare moduli con nomi troppo simili a quelli esistenti”.

Kadkoda afferma che Microsoft ha riconosciuto i problemi quando ne è stata informata e ha affermato di aver affrontato due questioni separate. "Tuttavia, abbiamo continuato a verificare e questi problemi esistono ancora" al 16 agosto, afferma.

Microsoft non ha risposto immediatamente a una richiesta di Dark Reading in cerca di commenti.

PowerShell Gallery è un repository ampiamente utilizzato per trovare, pubblicare e condividere moduli di codice PowerShell e le cosiddette risorse DSC (Desiderate State Configuration). Molti dei pacchetti nel registro provengono da entità attendibili, come Microsoft, AWS e VMware, mentre molti altri provengono da membri della comunità. Solo quest'anno sono stati scaricati più di 1.6 miliardi di pacchetti dal repository.

Aperto al Typosquatting

Un problema scoperto da Aqua è stata la mancanza di qualsiasi tipo di protezione contro il typosquatting, una tecnica di inganno che gli autori delle minacce hanno utilizzato sempre più negli ultimi anni per indurre gli utenti a scaricare pacchetti dannosi da repository di software pubblici. I typosquatter utilizzano in genere nomi che sono foneticamente simili ai nomi di pacchetti popolari e legittimi su repository pubblici, come npm, PyPI e Maven. Quindi si affidano agli utenti che commettono errori di battitura durante la ricerca di questi pacchetti e scaricano invece il loro pacchetto dannoso. La tecnica è diventata un comune vettore di attacco alla catena di fornitura del software.

Aqua ha scoperto che le politiche di PowerShell Gallery facevano ben poco per proteggere da tale inganno. Ad esempio, i nomi della maggior parte dei pacchetti di Azure nel repository seguivano uno schema specifico, ovvero "Az. .” Tuttavia, alcuni altri pacchetti Azure molto popolari come “Aztable” non seguivano lo schema e non avevano un punto nel nome.  

Aqua ha scoperto che non ci sono restrizioni sui prefissi che gli sviluppatori di pacchetti possono usare quando nominano i loro pacchetti. Ad esempio, quando i ricercatori di Aqua hanno realizzato una replica quasi perfetta di Aztable e l'hanno etichettata Az.Table, non hanno avuto problemi a caricare il codice proof-of-concept (PoC) su PowerShell Gallery. Il codice di richiamata incluso da Aqua nel PoC mostrava che diversi host su vari servizi cloud avevano scaricato il pacchetto solo nelle prime ore.

"A nostro avviso, altri registri hanno misure più protettive", afferma Kadkoda. "Ad esempio, npm, un'altra piattaforma di registro di Microsoft, utilizza le regole 'Moniker' appositamente progettate per combattere il typosquatting", afferma. Un esempio: poiché un pacchetto denominato "react-native" esiste già su npm, nessuno etichetta il proprio modulo con varianti come "reactnative", "react_native" o "react.native".

È facile falsificare l'identità del proprietario

Un altro problema che Aqua ha scoperto con le policy di PowerShell Gallery è il modo in cui consentono a un autore di minacce di far sembrare legittimo un pacchetto dannoso falsificando dettagli cruciali come i campi Autore/i, Descrizione e Copyright. "Un utente malintenzionato può scegliere liberamente qualsiasi nome quando crea un utente nella PowerShell Gallery", ha affermato Aqua nel suo post sul blog. "Pertanto, determinare l'autore effettivo di un modulo PowerShell in PowerShell Gallery rappresenta un compito impegnativo."

Gli utenti ignari che trovano questi pacchetti su PowerShell Gallery possono facilmente essere indotti a credere che l'autore del pacchetto dannoso sia un'entità legittima, come Microsoft, ha affermato Aqua.

Inoltre, l'analisi di Aqua ha mostrato che un'API di PowerShell Gallery ha sostanzialmente fornito agli autori delle minacce un modo per trovare moduli non elencati nel registro e potenzialmente qualsiasi dato sensibile associato a tali moduli. In genere, un modulo non elencato è privato e non dovrebbe essere qualcosa che un utente malintenzionato possa trovare tramite una ricerca nel repository. I ricercatori di Aqua hanno scoperto che non solo potevano estrarre tali moduli, ma ne hanno anche trovato uno che conteneva segreti sensibili che appartenevano a una grande azienda tecnologica.

Kadkoda afferma che non ci sono prove che suggeriscano che gli autori delle minacce abbiano sfruttato queste debolezze per introdurre pacchetti dannosi in PowerShell Gallery. Tuttavia, la minaccia è reale. "È importante notare che, secondo Microsoft, eseguono la scansione dei moduli/script di PowerShell caricati nella galleria", afferma Kadkoda. “Questa è una buona misura per bloccare i caricamenti dannosi. Tuttavia, rimane un gioco del gatto e del topo tra la soluzione di Microsoft e gli aggressori."

Timestamp:

Di più da Lettura oscura