Penggodam Korea Utara Merampas Pustaka Axios dalam Serangan Rantaian Bekalan Canggih yang Menyasarkan Mata Wang Kripto

Jutaan Pembangun Terdedah Selepas Penyerang Meracuni Repositori Kod Popular

Penggodam yang disyaki berasal dari Korea Utara melancarkan salah satu serangan rantaian bekalan paling canggih dari segi operasi dalam ingatan baru-baru ini dengan menceroboh Axios, sebuah pustaka JavaScript yang dimuat turun kira-kira 100 juta kali seminggu. Serangan yang berlangsung kira-kira tiga jam pada awal pagi 31 Mac itu menyuntik kod berniat jahat ke dalam perisian yang digunakan oleh ribuan syarikat dalam sektor penjagaan kesihatan, kewangan, bursa mata wang kripto dan teknologi. Penyelidik keselamatan menganggarkan versi yang telah diracuni itu dimuat turun oleh kira-kira tiga peratus daripada pangkalan pengguna pustaka tersebut, sekali gus berpotensi mendedahkan ratusan ribu sistem kepada trojan akses jauh yang direka untuk mencuri mata wang kripto dan kelayakan perusahaan.

Axios berfungsi sebagai klien HTTP berasaskan promise yang membolehkan permintaan API tak segerak daripada Node.js dan pelayar, menjadikannya komponen asas bagi aplikasi web moden. Syarikat daripada penyedia penjagaan kesihatan hingga institusi kewangan bergantung pada pustaka itu untuk memudahkan pembinaan laman web dan pertukaran data. Beberapa firma mata wang kripto dan syarikat teknologi yang aktif dalam industri aset digital turut menggunakan perisian tersebut, menjadikan mereka sasaran yang sangat bernilai bagi operasi siber Pyongyang untuk menjana pendapatan. Penggunaan Axios yang meluas dalam persekitaran perusahaan bermakna pencerobohan itu menimbulkan risiko berantai terhadap kebergantungan hiliran dan perkhidmatan bersepadu.

Threat Intelligence Group Google secara rasmi mengaitkan insiden itu dengan UNC1069, pelaku ancaman Korea Utara yang bermotifkan kewangan dan aktif sekurang-kurangnya sejak 2018. Kumpulan itu terkenal kerana menyasarkan bursa mata wang kripto, platform kewangan terdesentralisasi dan firma modal teroka untuk membiayai program nuklear dan peluru berpandu Pyongyang. Menurut Mandiant, firma perisikan milik Google, insiden ini merupakan peningkatan terbaharu dalam kempen Korea Utara untuk menjadikan rantaian bekalan perisian global sebagai senjata terhadap sasaran ekonomi bernilai tinggi.

Charles Carmakal, ketua pegawai teknologi Mandiant, menjelaskan sifat jangka panjang ancaman itu.

Kami menjangkakan mereka akan cuba menggunakan kelayakan dan akses sistem yang baru diperoleh dalam serangan rantaian bekalan perisian ini untuk menyasarkan perusahaan dan mencuri mata wang kripto. Penilaian terhadap kesan hiliran kempen ini mungkin mengambil masa berbulan-bulan.

John Hammond, penyelidik keselamatan di Huntress, melaporkan bahawa firmanya telah mengenal pasti kira-kira 135 peranti terjejas milik sekitar 12 syarikat, namun beliau menjangkakan jumlah itu hanya gelombang awal penemuan sementara organisasi melengkapkan audit forensik.

Mekanisme Pencerobohan Rantaian Bekalan

Serangan bermula apabila penggodam merampas kawalan akaun npm milik @jasonsaayman, penyelenggara utama pustaka Axios. Daripada mengeksploitasi kerentanan sifar hari yang canggih, pelaku ancaman menggunakan token akses yang telah lama aktif untuk memintas kawalan keselamatan moden, termasuk aliran kerja pengesahan berasaskan OpenID Connect. Ini membolehkan mereka menerbitkan dua versi perisian yang telah ditrojan, 1.14.1 dan 0.30.4, terus ke dalam daftar Node Package Manager tanpa mencetuskan amaran keselamatan standard atau memerlukan pengesahan berbilang faktor.

Hammond mengetengahkan kecacatan konfigurasi kritikal yang membolehkan serangan itu berlaku. Malah pada cabang v1.x yang telah dikonfigurasikan dengan OIDC Trusted Publishing, aliran kerja penerbitan masih menghantar NPM_TOKEN sebagai pemboleh ubah persekitaran bersama kelayakan OIDC. Apabila kedua-duanya tersedia, npm menggunakan token tersebut. Ini bermakna token yang telah lama aktif itu secara berkesan menjadi kaedah pengesahan bagi semua penerbit, tanpa mengira konfigurasi OIDC. Kecuaian seni bina ini membolehkan penyerang memintas perlindungan walaupun penyelenggara telah mengaktifkan pengesahan berbilang faktor pada akaunnya, sekali gus menunjukkan bagaimana mekanisme pengesahan legasi boleh menjejaskan kerangka keselamatan moden.

Penyerang menunjukkan persediaan rapi dan kesabaran. Lapan belas jam sebelum serangan utama, mereka menerbitkan versi bersih kebergantungan hantu bernama plain-crypto-js untuk membina rekod penerbitan dan mengelakkan syak wasangka terhadap akaun tanpa sejarah. Dua puluh minit sebelum keluaran Axios berniat jahat yang pertama, mereka menolak versi kebergantungan itu yang telah dipersenjatai, mengandungi skrip pascapemasangan yang direka untuk berjalan secara automatik apabila pembangun memasang atau mengemas kini pustaka yang terjejas. Keluaran kedua yang dipasang pintu belakang menyusul hanya 39 minit kemudian, menandakan kumpulan itu telah mengautomasikan saluran paip pelaksanaan mereka untuk memaksimumkan pengedaran dalam tempoh peluang yang singkat.

Semasa serangan berlaku, penyelenggara menghadapi cabaran besar untuk mendapatkan semula kawalan. Dalam isu GitHub awam, seorang kolaborator menyatakan mereka tidak dapat menarik balik akses daripada akaun yang bertanggungjawab menerbitkan pakej berniat jahat itu, sambil menyebut bahawa keizinan penyerang melebihi keizinan mereka sendiri. Keadaan ini mencetuskan perlumbaan dengan masa apabila penggodam mengekalkan hak penerbitan sementara komuniti pembangunan berusaha membendung kerosakan. NPM akhirnya menarik balik versi berniat jahat itu tiga jam selepas diterbitkan dan mengenakan sekatan keselamatan pada pakej plain-crypto-js, sebelum menggantikannya dengan pakej pemegang keselamatan sejam kemudian.

Malware Rentas Platform Membekalkan Pintu Belakang Berterusan

Selepas dipasang, kebergantungan berniat jahat itu menggunakan pemuat turun JavaScript yang dikaburkan bernama SILKBELL, yang mendapatkan muatan khusus platform daripada pelayan arahan dan kawalan jauh di sfrclak.com. Bagi sistem Windows, malware itu membekalkan alat berasaskan PowerShell yang mampu melaksanakan arahan sewenang-wenangnya. Pengguna macOS menerima binari C++ Mach-O, manakala pemasangan Linux disasarkan dengan pintu belakang Python. Penyelidik keselamatan mengenal pasti malware peringkat kedua ini sebagai WAVESHAPER.V2, evolusi pintu belakang yang sebelum ini dikaitkan dengan UNC1069 dalam serangan terhadap sektor mata wang kripto sejak 2023.

Seni bina teknikal serangan itu memperlihatkan usaha menyembunyikan jejak dan kesedaran terhadap platform yang disengajakan. Daripada mengubah kod sumber Axios secara langsung, yang boleh dilihat dalam repositori awam dan mencetuskan amaran semakan kod, penggodam menyelitkan fungsi berniat jahat melalui rantaian kebergantungan. Tiada satu baris pun kod berniat jahat di dalam axios sendiri, dan itulah yang menjadikan serangan ini begitu berbahaya, kata penyelidik di StepSecurity. Pakej plain-crypto-js dilaksanakan melalui cangkuk postinstall dalam fail package.json, membolehkan malware itu berjalan secara senyap semasa proses pemasangan sebelum memadamkan artifaknya sendiri dan menggantikan metadata pakej dengan versi bersih.

WAVESHAPER.V2 menghantar isyarat ke infrastruktur arahan dan kawalannya setiap 60 saat, serta menerima URL C2 dinamik melalui argumen baris perintah. Reka bentuk ini membolehkan penyerang menukar infrastruktur tanpa perlu menggunakan semula malware. Pintu belakang itu menyokong empat fungsi utama: menamatkan proses pelaksanaan, menyenaraikan direktori dengan metadata fail terperinci termasuk cap masa dan saiz, menjalankan arahan sistem melalui bahasa skrip natif seperti AppleScript pada macOS atau arahan shell pada Linux, serta menyuntik binari sewenang-wenangnya ke dalam proses yang sedang berjalan. Analisis oleh Elastic Security Labs mendapati binari macOS itu merujuk laluan binaan pembangun yang berkait terus dengan modul webT BlueNoroff daripada kempen malware RustBucket dan Hidden Risk terdahulu, sekali gus mengukuhkan kaitan dengan Korea Utara.

Mesin Penjana Hasil Digital Pyongyang

Operasi penggodaman Korea Utara telah berkembang menjadi mekanisme pembiayaan utama bagi program senjata nuklearnya yang dikenakan sekatan. Menurut laporan Pertubuhan Bangsa-Bangsa Bersatu dan anggaran Rumah Putih yang dikeluarkan pada 2023, kira-kira separuh daripada pembiayaan pembangunan peluru berpandu Pyongyang datang daripada kecurian siber, dengan penggodam mencuri berbilion dolar daripada bank dan firma mata wang kripto sejak beberapa tahun kebelakangan ini. Tahun lalu sahaja, anggota Korea Utara mencuri mata wang kripto bernilai $1.5 bilion dalam satu rompakan yang mencatat rekod, menunjukkan keupayaan mereka menceroboh sasaran bernilai tinggi secara besar-besaran.

Ben Read, pengarah perisikan ancaman strategik di Wiz, menjelaskan bahawa Korea Utara beroperasi secara berbeza daripada pelaku ancaman negara lain.

Korea Utara tidak bimbang tentang reputasinya atau kemungkinan dikenal pasti akhirnya. Jadi, walaupun operasi seperti ini sangat ketara dan mendapat perhatian meluas, mereka sanggup menanggung akibatnya.

Toleransi risiko ini membolehkan Pyongyang melancarkan serangan rantaian bekalan secara berani yang mungkin dielakkan negara lain kerana kemungkinan kesan diplomatik atau kebimbangan akan dikenal pasti. Pencerobohan Axios ini mengikuti pola yang terbentuk tiga tahun lalu apabila anggota Korea Utara didakwa menyusup masuk ke 3CX, penyedia perisian yang digunakan firma penjagaan kesihatan dan rangkaian hotel untuk panggilan suara dan video.

John Hultquist, ketua penganalisis di Google Threat Intelligence Group, menegaskan tumpuan khusus kumpulan itu terhadap aset digital.

Penggodam Korea Utara mempunyai pengalaman luas dalam serangan rantaian bekalan, yang secara sejarahnya mereka gunakan untuk mencuri mata wang kripto. Skop penuh insiden ini masih belum jelas, tetapi memandangkan populariti pakej yang terjejas, kami menjangkakan kesannya akan meluas.

UNC1069 sebelum ini menyasarkan syarikat teknologi kewangan menggunakan mesyuarat Zoom palsu, taktik kejuruteraan sosial dan pelbagai keluarga malware unik, menunjukkan tumpuan berterusan yang terus berkembang terhadap ekosistem mata wang kripto.

Rentetan Kerentanan Rantaian Bekalan

Insiden Axios berlaku ketika serangan rantaian bekalan yang menyasarkan ekosistem perisian sumber terbuka meningkat dengan membimbangkan. Sepanjang bulan lalu, pasukan keselamatan bertindak balas terhadap kesan domino pencerobohan termasuk serangan terhadap Trivy, alat pengimbasan keselamatan popular, LiteLLM, pustaka Python yang digunakan secara meluas untuk integrasi model AI, dan Telnyx, platform komunikasi. Walaupun Google mengesahkan serangan Axios tidak berkaitan dengan isu rantaian bekalan TeamPCP baru-baru ini, setiap pencerobohan yang berjaya memberikan penyerang kelayakan baharu dan akses awal kepada repositori tambahan, lalu mewujudkan kitaran pencerobohan yang berterusan sendiri.

Carmakal memberi amaran bahawa siri serangan baru-baru ini telah menghasilkan inventori rahsia yang dicuri dalam jumlah besar. Rahsia yang dicuri sepanjang dua minggu lalu akan membolehkan lebih banyak serangan rantaian bekalan perisian, pencerobohan persekitaran perisian sebagai perkhidmatan yang membawa kepada pencerobohan pelanggan hiliran, kejadian perisian tebusan dan pemerasan, serta rompakan mata wang kripto dalam beberapa hari, minggu dan bulan akan datang, jelasnya. Kami mengetahui terdapat ratusan ribu kelayakan yang dicuri. Pelbagai pelaku dengan pelbagai motif berada di sebalik serangan ini. Kesan serangan rantaian bekalan npm axios semalam adalah luas dan meliputi pakej popular lain yang bergantung padanya.

Tom Hegel, penyelidik kanan di SentinelOne, menekankan sifat ancaman yang tidak kelihatan itu.

Setiap kali anda memuatkan laman web, menyemak baki bank atau membuka aplikasi pada telefon, besar kemungkinan Axios sedang berjalan di latar belakang untuk membolehkan semua itu berfungsi. Anda tidak perlu mengklik apa-apa atau melakukan kesilapan. Perisian yang sudah anda percayai melakukannya bagi pihak anda.

Pemerhatian ini menegaskan bagaimana serangan rantaian bekalan mengeksploitasi kepercayaan tersirat pengguna terhadap komponen perisian yang mapan, sekali gus memintas latihan kesedaran keselamatan tradisional dan perlindungan titik akhir.

Teknik Mengelak Pengesanan dan Langkah Forensik

Penyerang melaksanakan langkah anti-forensik canggih yang menyukarkan tindak balas insiden dan pengesanan. Selepas dilaksanakan, malware itu bukan sahaja memadamkan fail pemasangannya sendiri, malah memanipulasi pelaporan versi untuk memperdaya pasukan pertahanan. Pakej plain-crypto-js berniat jahat itu melaporkan versinya sebagai 4.2.0 dan bukannya 4.2.1, sekali gus mengelirukan pasukan keselamatan yang mengesahkan integriti pakej. Teknik pemalsuan versi ini bertujuan meyakinkan pentadbir bahawa sistem mereka menjalankan perisian yang sah, sedangkan sebenarnya mereka telah memasang versi yang terjejas.

Tomislav Pericin, ketua arkitek perisian di ReversingLabs, menyifatkan serangan itu sebagai templat untuk operasi akan datang, bukannya insiden terpencil.

Tahap kecanggihan operasi yang didokumenkan di sini, termasuk kelayakan penyelenggara yang diceroboh, muatan yang disediakan lebih awal untuk tiga sistem pengendalian, kedua-dua cabang keluaran disasarkan dalam masa kurang 40 minit, serta pemusnahan bukti forensik terbina dalam, mencerminkan pelaku ancaman yang merancang operasi ini supaya boleh diperluas. Jika kempen ini kini muncul di PyPI dan NuGet, hal itu selaras dengan petunjuk daripada mekanisme serangan itu: matlamatnya ialah mencapai seramai mungkin pembangun.

Organisasi kini perlu mengaudit bukan sahaja kebergantungan npm, tetapi setiap pengurus pakej yang membekalkan saluran paip binaan mereka. Hammond menyifatkan masa serangan itu amat membimbangkan memandangkan trend pembangunan semasa yang semakin mengutamakan automasi. Beliau berkata penggodaman itu berlaku tepat pada masanya ketika penggunaan ejen AI meningkat pesat untuk menjana perisian dalam organisasi tanpa sebarang semakan atau kawalan. Risiko ini bukan hanya melibatkan pengguna langsung Axios, tetapi juga mana-mana organisasi yang alat pembangunannya menyelesaikan kebergantungan secara automatik. Pengasas Semgrep, Isaac Evans, menyatakan bahawa pembangun yang menetapkan versi tertentu, menyelenggara fail kunci dan mengikuti amalan kebersihan standard tetap boleh terjejas kerana persekitaran pembangunan bersepadu mereka menarik kebergantungan itu di sebalik tabir.

Melindungi Rantaian Bekalan Perisian

Pasukan keselamatan merentas industri kini bergegas menilai pendedahan dan memulihkan sistem yang terjejas. Organisasi yang menggunakan Axios mesti segera mengaudit pepohon kebergantungan mereka untuk mencari versi 1.14.1 dan 0.30.4, menurunkan taraf kepada versi selamat yang telah disahkan seperti 1.14.0 atau 0.30.3, serta menukar semua kelayakan yang boleh diakses semasa tempoh pemasangan. Petunjuk teknikal pencerobohan termasuk kehadiran plain-crypto-js dalam direktori node_modules, sambungan rangkaian ke sfrclak.com (alamat IP 142.11.206.73), dan proses mencurigakan dalam direktori sementara seperti /Library/Caches/com.apple.act.mond pada sistem macOS.

Langkah mitigasi segera termasuk menetapkan Axios kepada versi selamat yang diketahui dalam fail package-lock.json bagi mengelakkan naik taraf tidak sengaja, memeriksa kewujudan kebergantungan berniat jahat itu, menamatkan sebarang proses berniat jahat yang dikenal pasti, menyekat domain arahan dan kawalan yang dikenal pasti di sempadan rangkaian, mengasingkan sistem terjejas daripada rangkaian produksi, serta menukar semua rahsia dan kelayakan yang mungkin terdedah semasa tempoh pencerobohan. Organisasi juga wajar menyemak log akses untuk mengesan penggunaan tanpa kebenaran bagi kunci API atau akaun perkhidmatan yang mungkin telah dicuri oleh malware itu.

Ilkka Turunen, CTO lapangan di Sonatype, menegaskan isu asas kepercayaan yang didedahkan oleh insiden ini. Serangan ini menunjukkan penggodam kini mengeksploitasi kepercayaan orang terhadap kod, bukannya kod itu sendiri, jelasnya. Keupayaan berniat jahat diperkenalkan melalui kebergantungan yang disediakan terlebih dahulu dan direka untuk memadamkan jejaknya sendiri, menjadikan serangan itu lebih sukar dikesan dan lebih lambat difahami. Itu bukan sekadar malware; ia menunjukkan strategi operasi yang lebih terancang dan matang. Mike Puglia, pemimpin keselamatan di Kaseya, menyatakan insiden ini memberikan bukti lanjut tentang kerapuhan ekosistem perisian dunia, yang membolehkan pencerobohan satu akaun mendedahkan puluhan ribu organisasi dalam beberapa jam.

Perkara Utama

• Kumpulan ancaman Korea Utara UNC1069 menceroboh pustaka JavaScript Axios, yang menerima 100 juta muat turun seminggu dan terdapat dalam kira-kira 80% persekitaran awan
• Versi berniat jahat 1.14.1 dan 0.30.4 tersedia selama kira-kira tiga jam pada 31 Mac, dimuat turun oleh kira-kira 3% pangkalan pengguna, bersamaan berpotensi 600,000 muat turun
• Serangan itu menggunakan kebergantungan hantu bernama plain-crypto-js untuk menyebarkan WAVESHAPER.V2, pintu belakang rentas platform yang mampu menjangkiti sistem Windows, macOS dan Linux
• Google Mandiant menjangkakan kumpulan itu akan menggunakan kelayakan yang dicuri untuk operasi mencuri mata wang kripto dalam jangka panjang bagi membiayai program nuklear dan peluru berpandu Korea Utara
• Malware itu mempunyai keupayaan anti-forensik canggih, termasuk pemadaman kendiri dan pemalsuan versi dengan melaporkan versinya sebagai 4.2.0 dan bukannya 4.2.1 untuk mengelak pengesanan
• Organisasi mesti mengaudit pepohon kebergantungan, menukar semua kelayakan, menyekat domain C2 sfrclak.com dan IP 142.11.206.73, serta segera menurunkan taraf kepada versi Axios yang selamat
• Pencerobohan berlaku melalui token akses yang telah lama aktif dan memintas kawalan pengesahan OIDC, sekali gus menekankan keperluan untuk membersihkan kelayakan legasi