Wormable npm 패키지 및 토큰 스틸러: 공급망 보안에 대한 심층 분석

웜 가능한 npm 패키지 및 토큰 스틸러와 관련된 최근 사건은 소프트웨어 공급망에 대한 위험이 커지고 있음을 강조합니다. Amazon 연구원들은 대규모 토큰 파밍 캠페인을 발견하여 강력한 보안 조치의 필요성을 강조했습니다.

Wormable npm Packages and Token Stealers: A Deep Dive into Supply Chain Security

Wormable npm 패키지 및 토큰 스틸러: 공급망 보안에 대한 심층 분석

The npm registry, a cornerstone of JavaScript development, has recently been under siege. From self-replicating worms to sophisticated token-stealing schemes, the threat landscape is evolving rapidly. This article delves into recent discoveries and trends surrounding these attacks, focusing on the risks and potential mitigations.

JavaScript 개발의 초석인 npm 레지스트리가 최근 포위당했습니다. 자가 복제 웜부터 정교한 토큰 훔치기 계획에 이르기까지 위협 환경은 빠르게 진화하고 있습니다. 이 기사에서는 위험과 잠재적인 완화 방법에 중점을 두고 이러한 공격과 관련된 최근 발견과 동향을 자세히 살펴봅니다.

The Rise of Malicious npm Packages

악성 npm 패키지의 증가

Recent findings from Amazon researchers have shed light on a significant issue: over 150,000 malicious packages lurking within the npm registry. These packages were part of a "token farming" campaign targeting the tea.xyz protocol, a system designed to reward open-source developers. This campaign showcases how attackers are increasingly weaponizing npm packages to compromise developers and execute supply chain attacks.

Amazon 연구원의 최근 조사 결과에 따르면 npm 레지스트리 내에 150,000개 이상의 악성 패키지가 숨어 있다는 중요한 문제가 밝혀졌습니다. 이 패키지는 오픈 소스 개발자에게 보상하기 위해 설계된 시스템인 tea.xyz 프로토콜을 대상으로 하는 "토큰 파밍" 캠페인의 일부였습니다. 이 캠페인은 공격자가 개발자를 손상시키고 공급망 공격을 실행하기 위해 점점 더 npm 패키지를 무기화하는 방법을 보여줍니다.

Unlike traditional malware-laden packages, this token farming campaign didn't rely on overtly malicious code. Instead, it exploited the tea.xyz reward mechanism by artificially inflating package metrics through automated replication and dependency chains. This allowed threat actors to extract financial benefits from the open-source community.

기존의 악성 코드가 포함된 패키지와 달리 이 토큰 파밍 캠페인은 명백한 악성 코드에 의존하지 않았습니다. 대신 자동화된 복제 및 종속성 체인을 통해 패키지 지표를 인위적으로 팽창시켜 tea.xyz 보상 메커니즘을 활용했습니다. 이를 통해 위협 행위자는 오픈 소스 커뮤니티에서 재정적 이익을 얻을 수 있었습니다.

How the Attack Works

공격의 작동 방식

The attackers utilized automated tooling to self-replicate malicious packages at an unprecedented scale. They exploited npm's package installation mechanisms to create self-replicating systems. The package.json file, which contains executable scripts and dependency lists, was weaponized to create circular dependency chains. Installing one malicious package would automatically trigger the installation of multiple additional packages, maximizing both the installation cascade and the tea.xyz teaRank scoring.

공격자들은 자동화된 도구를 활용하여 전례 없는 규모로 악성 패키지를 자가 복제했습니다. 그들은 npm의 패키지 설치 메커니즘을 활용하여 자체 복제 시스템을 만들었습니다. 실행 가능한 스크립트와 종속성 목록이 포함된 package.json 파일은 순환 종속성 체인을 생성하기 위해 무기화되었습니다. 하나의 악성 패키지를 설치하면 자동으로 여러 추가 패키지 설치가 트리거되어 설치 단계와 tea.xyz teaRank 점수가 모두 최대화됩니다.

The Impact

영향

Even though these packages didn't contain ransomware or information stealers, they still posed significant risks. These risks included:

이러한 패키지에는 랜섬웨어나 정보 도용자가 포함되어 있지 않지만 여전히 심각한 위험이 있습니다. 이러한 위험에는 다음이 포함됩니다.

• Polluting the npm registry with non-functional packages
• Taxing the registry's bandwidth, storage, and infrastructure resources
• Dependency confusion and other supply chain risks

Wormhole and Cross-Chain DeFi

웜홀 및 크로스체인 DeFi

On a somewhat related note, the broader DeFi landscape is also seeing advancements in interoperability. Folks Finance, for example, has integrated Wormhole’s Native Token Transfers (NTT) to broaden its governance token, FOLKS, across multiple blockchain networks. This initiative enhances cross-network interaction and eliminates the need for wrapped tokens, reducing risks associated with synthetic assets.

이와 관련하여 더 넓은 DeFi 환경에서도 상호 운용성이 향상되고 있습니다. 예를 들어 Folks Finance는 Wormhole의 NTT(Native Token Transfers)를 통합하여 여러 블록체인 네트워크에 걸쳐 거버넌스 토큰인 FOLKS를 확장했습니다. 이 이니셔티브는 네트워크 간 상호 작용을 강화하고 래핑된 토큰의 필요성을 제거하여 합성 자산과 관련된 위험을 줄입니다.

Mitigation Strategies

완화 전략

To combat these threats, organizations should take proactive steps:

이러한 위협에 맞서기 위해 조직은 다음과 같은 사전 조치를 취해야 합니다.

• Use Amazon Inspector: Detect packages tied to the token farming campaign and audit existing npm packages.
• Enforce Software Bills of Materials (SBOMs): Maintain a comprehensive list of software components.
• Isolate CI/CD Environments: Protect continuous integration and continuous delivery pipelines.

Looking Ahead

미래를 내다보며

The incidents discussed above underscore the importance of vigilance and proactive security measures. The software supply chain is a complex ecosystem, and securing it requires a multi-faceted approach. By staying informed and implementing robust security practices, we can collectively mitigate the risks posed by malicious actors.

위에서 논의한 사고는 경계와 사전 예방적 보안 조치의 중요성을 강조합니다. 소프트웨어 공급망은 복잡한 생태계이므로 이를 보호하려면 다각적인 접근 방식이 필요합니다. 지속적인 정보를 얻고 강력한 보안 관행을 구현함으로써 악의적인 행위자가 제기하는 위험을 종합적으로 완화할 수 있습니다.

So, keep those dependencies in check, and remember: a little paranoia goes a long way in the wild world of npm!

따라서 이러한 종속성을 확인하고 기억하십시오. npm의 거친 세계에서는 약간의 편집증이 큰 영향을 미칩니다!