Varnostni raziskovalci so odkrili novo kampanjo napada na dobavno verigo programske opreme, ki cilja na ekosistem npm. Kampanja, ki vključuje paket indexed-btree, razkriva sofisticirano tehniko, s katero napadalci zaobidejo standardne varnostne mehanizme, ki temeljijo na nadzoru namestitvenih skriptov.
Klasični pristop k odkrivanju zlonamernih npm paketov se osredotoča na analizo namestitvenih skript – torej kode, ki se izvede ob namestitvi paketa z ukazom npm install. Varnostna orodja in platforme, kot sta npm Audit in Socket, so bila dolgo usmerjena v zaznavanje sumljivih operacij prav v tej fazi. Nova kampanja pa to zaščito v celoti obide: zlonamerna koda se ne nahaja v namestitvenih skriptah, temveč je skrita znotraj normalnega izvajanja paketa med delovanjem aplikacije.
To pomeni, da paket med namestitvijo ne sproži nobenih alarmov. Škodljiva logika se aktivira šele, ko razvijalec ali aplikacija dejansko pokliče funkcije paketa med izvajanjem – torej v produkcijskem ali razvojnem okolju. Takšen pristop bistveno oteži odkrivanje z avtomatiziranimi orodji, saj ti večinoma ne simulirajo celotnega izvajanja kode.
Paket indexed-btree je bil na videz funkcionalna implementacija podatkovne strukture B-drevesa, kar je povečalo njegovo verodostojnost in zmanjšalo sum pri razvijalcih, ki so ga integrirali v svoje projekte. V ozadju pa je paket med izvajanjem vzpostavljal komunikacijo z zunanjimi strežniki in potencialno izpostavljal občutljive podatke ali odpiral stranska vrata v sisteme.
Varnostni strokovnjaki opozarjajo, da ta kampanja nakazuje na zaskrbljujočo evolucijo napadov na dobavno verigo. Priporočila za organizacije in razvijalce vključujejo več ukrepov: redno preverjanje integritete odvisnosti z orodji, ki analizirajo vedenje paketov med izvajanjem (runtime analysis), ne le pri namestitvi; uporabo orodij, kot so Socket.dev, Snyk ali Phylum, ki vključujejo dinamično analizo; implementacijo strogih politik za upravljanje odvisnosti ter redno revizijo seznama uvoženih paketov v projektih.
Priporoča se tudi uvedba principov najmanjših privilegijev za Node.js procese ter monitoring omrežnih klicev iz aplikacij, kar bi omogočilo zaznavanje nenavadnih izhodnih povezav, ki bi jih takšna zlonamerna koda vzpostavila med izvajanjem.
Incident ponovno poudarja, da varnost dobavne verige programske opreme zahteva celosten pristop – od statične analize do dinamičnega nadzora vedenja v celotnem življenjskem ciklu aplikacije.
Vir: https://www.bleepingcomputer.com/news/security/malicious-npm-packages-evade-install-script-defenses-at-runtime/
Originalna objava: 2026-09-20
Članek je pripravljen na osnovi tujega vira s pomočjo AI in prilagojen za slovenskega bralca.