Axios npm Saldırısı: Güvenilir Bir Paket Nasıl Kötü Amaçlı Yazılım Dağıtım Aracına Dönüştü?

Axios npm saldırısı, güvenilir bir paketi kötü amaçlı yazılım dağıtım aracına dönüştüren bir bakımcı hesabı ele geçirme olayıydı. Saldırgan, Axios'un baş bakımcısının npm hesabını ele geçirdi, kayıtlı e-posta adresini saldırganın kontrolündeki bir adrese değiştirdi ve asıl bakımcının hesaba erişimini engelledi.

Saldırı, önceden planlanmış ve kasıtlı bir şekilde gerçekleştirildi. Yük etkinleştirilmeden yaklaşık 18 saat önce bir tuzak sürümü yayınlandı; bu sayede, hemen şüphe uyandırmadan bir yayın geçmişi oluşturuldu. Ardından, saldırgan yaklaşık 39 dakika içinde iki kötü amaçlı sürümü yayına sundu: modern sürüm dalı için axios 1.14.1 ve eski sürüm dalı için axios 0.30.4.

Her iki sürüm dizisi de görünürlüğü en üst düzeye çıkarmak amacıyla aynı anda yayınlandı. Bu karar, hem mevcut hem de eski ortamların standart güncelleme prosedürüyle virüslü bir paketi indirmesi olasılığını artırdı.

package.json dosyasındaki tek bir bağımlılık değişikliği, bir npm tedarik zinciri saldırısında tüm saldırı yolunu oluşturabilir. Axios olayında, kötü niyetli davranış yeni bir bağımlılık aracılığıyla eklenmiş olduğundan, hiçbir Axios kaynak dosyasının değiştirilmesine gerek kalmamıştır. 

Bu bağımlılık, bir npm postinstall kancası aracılığıyla çalıştırıldı. Bir geliştirici iş istasyonu, CI/CD ardışık düzeni veya derleme sistemi npm install komutunu çalıştırır çalıştırmaz, kötü amaçlı paket saldırganın kontrolündeki bir sunucuya bağlanabilir, işletim sistemine özgü bir yükü alabilir ve çalıştırmaya başlayabilirdi. 

Yükler macOS, Windows ve Linux için hazırlandı. Saldırı, tasarım gereği platformlar arasıydı. Çalıştırıldıktan sonra, dropper kendi izlerini sildi ve gerçek package.json dosyasını sahte bir sürümle değiştirdi; bu da daha sonraki adli incelemeyi çok daha zor hale getirdi. 

Geleneksel kod incelemesi, bir depo içindeki kaynak kodu değişikliklerini denetlemek üzere tasarlanmıştır; ancak bu saldırı yolu Axios kaynak kodunda yer almıyordu. Axios saldırısı, görünür depo değişikliklerine dayanmıyordu; çünkü kötü niyetli mantık, Axios kaynak kodunda değil, ayrı bir bağımlılıkta bulunuyordu. 

Bu fark önemlidir. Paket güncellemesine bakan bir denetçi, package.json dosyasında yeni bir bağımlılık satırından başka pek bir şey göremez. Asıl zararlı davranış, ancak bağımlılık çözümlenip yüklendiğinde ortaya çıkıyordu. 

Bu nedenle, güvenilir paket saldırılarını yalnızca diff tabanlı incelemeyle tespit etmek zordur. Saldırı yolu, çoğu ekibin incelediği kaynak dosyaların dışında yer alır; oysa paket, rutin geliştirme iş akışlarından geçebilecek kadar meşru görünmeye devam eder. 

Güvenliği ihlal edilmiş bir npm paketinin etki alanı, paketin kendisi değildir. Etki alanı, paketin temas ettiği her şeydir. 

Çoğu kuruluş için bu, yüksek izinlere sahip CI/CD boru hatlarını, SSH anahtarları ve bulut jetonları içeren geliştirici uç noktalarını, yapı depolarına yazma erişimi olan derleme sunucularını ve üretim sistemlerine bağlı dağıtım araçlarını kapsamaktadır. Kötü niyetli bir paketin zarar verebilmesi için bağımlılık ağacının içinde kalması gerekmez. Tek ihtiyacı olan, güvenilir bir yürütme noktasıdır. 

İşte bu yüzden Axios olayı, JavaScript paket yönetiminin ötesinde bir öneme sahip. Kurulum sonrası gerçekleşen bir güvenlik ihlali, normal bir kurulum işlemini kimlik bilgilerinin çalınmasına, sistem içinde yayılmaya veya alt altyapıya erişime dönüştürebilir. 

Bir yazılım tedarik zinciri saldırısı, genellikle kimlik bilgilerinin sızmasına yol açar. Hâlâ pek çok ekip, potansiyel olarak sızma riski taşıyan gizli bilgileri tespit edip bunları derhal değiştiren güvenilir iş akışlarına sahip değildir.

Tedarik zinciri görünürlüğü, ekiplerin beklenmedik paket değişikliklerini, bu değişiklikler daha sonraki aşamalarda sorunlara dönüşmeden önce tespit etmelerine yardımcı olur. Güvenlik ekipleri, hangi paketlerin yüklü olduğunu, hangi sürümlerin sabitlendiğini, hangi yeni bağımlılıkların ortaya çıktığını ve bu bileşenlerin nerede çalıştığını bilmelidir.

Bağımlılık görünürlüğü ve izleme olmadan, sistemin ele geçirildiğinin ilk işareti, ilk kurulumun üzerinden uzun zaman geçtikten sonra kimlik bilgilerinin kötüye kullanılması veya altyapının suistimal edilmesi şeklinde ortaya çıkabilir.