Τουλάχιστον 14.000 κακόβουλα πακέτα σε προγράμματα ανοιχτού κώδικα εντοπίστηκαν από την Kaspersky, μέχρι το τέλος του 2024, σημειώνοντας αύξηση 50% σε σύγκριση με το τέλος του 2023. Συνολικά, 42 εκατομμύρια εκδόσεις πακέτων ανοιχτού κώδικα εξετάστηκαν από την εταιρεία κυβερνοασφάλειας μέσα στο 2024, κατά την αναζήτηση τρωτών σημείων.
Το λογισμικό ανοιχτού κώδικα είναι λογισμικό του οποίου ο πηγαίος κώδικας είναι διαθέσιμος σε όλους για εξέταση, τροποποίηση και βελτιστοποίηση. Δημοφιλή πακέτα ανοιχτού κώδικα περιλαμβάνουν τα GoMod, Maven, NuGet, npm, PyPI και άλλα.
Αυτά είναι εργαλεία που υποστηρίζουν αμέτρητες εφαρμογές και επιτρέπουν στους προγραμματιστές να βρίσκουν, να εγκαθιστούν και να διαχειρίζονται προϋπάρχουσες βιβλιοθήκες κώδικα, διευκολύνοντας την ανάπτυξη λογισμικού μέσω της επαναχρησιμοποίησης έτοιμου κώδικα. Οι επιτιθέμενοι εκμεταλλεύονται τη δημοτικότητα αυτών των πακέτων.
Τον Μάρτιο του 2025, η ομάδα Lazarus φέρεται να ανέπτυξε πολλά κακόβουλα πακέτα npm, των οποίων έγινε λήψη αρκετές φορές πριν αφαιρεθούν. Τα πακέτα αυτά περιείχαν κακόβουλο λογισμικό για κλοπή διαπιστευτηρίων, δεδομένων πορτοφολιών κρυπτονομισμάτων, αλλά και για εγκατάσταση backdoors, στοχεύοντας συστήματα προγραμματιστών σε Windows, macOS και Linux.
Η επίθεση χρησιμοποίησε και αποθετήρια στο GitHub για μεγαλύτερη αξιοπιστία, υποδεικνύοντας τις εξελιγμένες τακτικές εφοδιαστικής αλυσίδας της ομάδας. Η ομάδα GReAT της Kaspersky εντόπισε και άλλα σχετικά κακόβουλα πακέτα npm. Τα πακέτα αυτά θα μπορούσαν να έχουν ενσωματωθεί σε εφαρμογές web development, πλατφόρμες κρυπτονομισμάτων και επιχειρησιακό λογισμικό, με αποτέλεσμα τον κίνδυνο εκτεταμένης κλοπής δεδομένων και οικονομικών απωλειών.
Το 2024, ανακαλύφθηκε μια αδυναμία στις εκδόσεις XZ Utils 5.6.0 και 5.6.1, μια ευρέως χρησιμοποιούμενη βιβλιοθήκη συμπίεσης δεδομένων στο Linux. Ο κακόβουλος κώδικας, που εισήχθη από έναν έμπιστο συνεργάτη, στόχευε διακομιστές SSH, επιτρέποντας την απομακρυσμένη εκτέλεση εντολών και απειλώντας αμέτρητα συστήματα παγκοσμίως. Η απειλή εντοπίστηκε πριν προλάβει να χρησιμοποιηθεί ευρέως, χάρη σε αποκλίσεις στην απόδοση, αναδεικνύοντας τους κινδύνους επιθέσεων μέσω της εφοδιαστικής αλυσίδας. Το XZ Utils είναι κρίσιμο για λειτουργικά συστήματα, cloud servers και συσκευές IoT, και η παραβίασή του αποτελεί απειλή για κρίσιμες υποδομές και επιχειρησιακά δίκτυα.
Το 2024, η GReAT της Kaspersky εντόπισε ότι επιτιθέμενοι χρησιμοποιούσαν κακόβουλα πακέτα Python όπως τα chatgpt-python και chatgpt-wrapper στο PyPI, μιμούμενα νόμιμα εργαλεία για τη χρήση των API του ChatGPT. Τα πακέτα είχαν σκοπό την κλοπή διαπιστευτηρίων και την εγκατάσταση backdoors, εκμεταλλευόμενα τη δημοτικότητα της ανάπτυξης εφαρμογών τεχνητής νοημοσύνης. Αυτά τα πακέτα θα μπορούσαν να χρησιμοποιηθούν σε πλατφόρμες ανάπτυξης τεχνητής νοημοσύνης, ενσωμάτωσης chatbot και ανάλυσης δεδομένων, θέτοντας σε κίνδυνο ευαίσθητες ροές εργασίας τεχνητής νοημοσύνης και δεδομένα χρηστών.
Πως να προστατευτείτε
- Χρησιμοποιήστε λύσεις για παρακολούθηση των χρησιμοποιούμενων στοιχείων ανοιχτού κώδικα, ώστε να εντοπίζονται τυχόν απειλές που μπορεί να κρύβονται στο εσωτερικό τους.
- Επαληθεύστε τους διαχειριστές των πακέτων: Ελέγξτε την αξιοπιστία του δημιουργού ή του οργανισμού πίσω από το πακέτο. Αναζητήστε συνεπή ιστορικό εκδόσεων, τεκμηρίωση και ενεργό σύστημα αναφοράς προβλημάτων.
- Ενημερωθείτε για νέες απειλές: Εγγραφείτε σε δελτία ασφαλείας και ειδοποιήσεις που σχετίζονται με το οικοσύστημα του ανοιχτού κώδικα. Όσο νωρίτερα γνωρίζετε για μια απειλή, τόσο γρηγορότερα μπορείτε να αντιδράσετε.
