Вредоносные пакеты NuGet атакуют разработчиков ASP.NET с целью кражи данных

Вредоносные пакеты NuGet похищают данные ASP.NET Identity

Специалисты по кибербезопасности из компании Socket выявили четыре вредоносных пакета NuGet, предназначенных для атаки на разработчиков веб-приложений ASP.NET. Эти пакеты похищают конфиденциальные данные ASP.NET Identity, включая учётные записи пользователей, назначения ролей и карты разрешений, а также манипулируют правилами авторизации для создания постоянных бэкдоров в скомпрометированных приложениях.

Технические детали атаки

Вредоносные пакеты были обнаружены в рамках скоординированной кампании, эксплуатирующей NuGet — популярный менеджер пакетов для разработки на .NET. Злоумышленники внедрили вредоносный код в кажущиеся легитимными пакеты, что позволило им:

• Похищать данные ASP.NET Identity (учётные данные пользователей, роли, разрешения)
• Изменять правила авторизации для создания скрытых учётных записей администраторов
• Обеспечивать постоянство за счёт внедрения бэкдоров в приложения жертв

Хотя в оригинальном отчёте не были указаны конкретные CVE ID или названия пакетов, вектор атаки соответствует последним тенденциям в атаках на цепочки поставок, нацеленных на экосистемы с открытым исходным кодом.

Последствия для разработчиков и организаций

Компрометация данных ASP.NET Identity несёт серьёзные риски, включая:

• Несанкционированный доступ к конфиденциальным данным пользователей
• Повышение привилегий через манипуляции с назначениями ролей
• Долгосрочное постоянство за счёт внедрения бэкдоров в приложения
• Потенциальные нарушения соответствия требованиям регуляторов по защите данных (например, GDPR, CCPA)

Разработчикам, использующим NuGet для проектов на ASP.NET, рекомендуется провести аудит зависимостей на наличие подозрительных пакетов и отслеживать необычные изменения в настройках авторизации.

Меры по снижению рисков и дальнейшие шаги

Командам по безопасности и разработчикам рекомендуется:

1. Сканировать зависимости NuGet с помощью таких инструментов, как Socket, OWASP Dependency-Check или NuGet Package Explorer
2. Проверять конфигурации ASP.NET Identity на предмет несанкционированных изменений
3. Сменить учётные данные для всех затронутых учётных записей и ролей
4. Мониторить попытки аномальной аутентификации в журналах приложений
5. Внедрить меры безопасности цепочки поставок, такие как подписывание пакетов и проверка их происхождения

Компания Socket сообщила о вредоносных пакетах в NuGet, который, вероятно, уже принял меры по их удалению из репозитория. Тем не менее, разработчикам следует сохранять бдительность в отношении подобных угроз и в других экосистемах пакетов, включая npm, PyPI и RubyGems.

Дополнительные сведения можно найти в оригинальном отчёте от The Hacker News.