The GitHub Blog
·
加强供应链安全：为下一次恶意软件攻击做好准备
内容提要
开源生态系统面临组织化的供应链威胁，如Shai-Hulud攻击。攻击者利用被盗凭证和恶意脚本，迅速针对维护者的工作流程。建议维护者加强安全措施，关注凭证收集和安装过程，实施多重身份验证和定期审计，以防止未来攻击。
关键要点
-
开源生态系统面临组织化的供应链威胁，如Shai-Hulud攻击。
-
攻击者利用被盗凭证和恶意脚本，迅速针对维护者的工作流程。
-
Shai-Hulud攻击分为多个波次，第一波利用被盗的维护者账户注入恶意代码。
-
第二波Shai-Hulud 2.0升级了威胁，能够通过被盗凭证自我复制并传播。
-
攻击者通过被盗凭证获取初始立足点，收集更多秘密以扩大影响。
-
恶意脚本在安装时执行，且通常在运行时才显示行为。
-
攻击者针对受信任的命名空间和内部包名发布感染包。
-
快速迭代和工程化绕过防御措施表明这是一个有组织的攻击。
-
建议维护者加强出版模型和凭证流的安全性。
-
npm的安全路线图将加速，重点支持批量OIDC入驻和分阶段发布。
-
建议所有用户启用抗钓鱼的多重身份验证，并定期审计和撤销未使用的应用访问权限。
-
维护者应使用沙箱环境进行开发工作，以限制恶意软件的访问。
延伸解读
供应链攻击的演变
Shai-Hulud攻击展示了供应链攻击的复杂性和演变过程。攻击者从简单的机会主义攻击转向有针对性的多波次攻击，利用被盗凭证和恶意脚本在维护者的工作流程中渗透。这种演变提醒我们，安全防护措施需要不断更新，以应对日益复杂的威胁。
维护者的安全措施
为了防止未来的攻击，维护者应加强对凭证管理和发布流程的安全性。建议实施多重身份验证、定期审计和使用沙箱环境进行开发，以限制潜在的恶意软件访问。这些措施不仅能保护个人账户，还能增强整个开源生态系统的安全性。
关注恶意软件的传播方式
恶意软件通过npm包的安装过程传播，攻击者利用受信任的包名和版本号伪装成正常更新。这种隐蔽性使得检测和防御变得更加困难，因此用户在安装新包时应保持警惕，定期审查依赖项，确保其来源的可信度。
延伸问答
Shai-Hulud攻击的主要特点是什么？
Shai-Hulud攻击具有多波次、利用被盗凭证、恶意脚本注入和针对维护者工作流程的特点。
维护者应该如何加强供应链安全？
维护者应实施多重身份验证、定期审计凭证流，并使用沙箱环境进行开发工作。
Shai-Hulud 2.0与第一波攻击有什么不同？
Shai-Hulud 2.0升级了威胁，能够自我复制并通过被盗凭证传播，且引入了更复杂的命令控制机制。
恶意软件是如何通过npm包传播的？
恶意软件通过在npm包中注入恶意代码，在安装时执行，从而感染用户的系统并窃取凭证。
npm的安全路线图有哪些重点？
npm的安全路线图重点包括批量OIDC入驻、扩展OIDC提供者支持和分阶段发布模型。
如何防止凭证被盗？
启用抗钓鱼的多重身份验证，定期审计和撤销未使用的应用访问权限，设置凭证的过期日期。
