Um pesquisador de segurança foi capaz de violar os sistemas internos de mais de 35 grandes empresas, incluindo Apple, Microsoft e PayPal, usando um ataque à cadeia de suprimentos de software (via Biping Computer )
Pesquisador de segurança Alex Birsan foi capaz de explorar uma falha de design exclusiva em alguns ecossistemas de código aberto chamada 'confusão de dependências' para atacar os sistemas de empresas como Apple, Microsoft, PayPal, Shopify, Netflix, Yelp, Tesla e Uber.
O ataque envolveu o upload de malware para repositórios de código aberto, incluindo PyPI, npm e RubyGems, que foram então automaticamente distribuídos para os aplicativos internos de várias empresas. As vítimas receberam automaticamente os pacotes maliciosos, sem necessidade de engenharia social ou trojans.
Birsan foi capaz de criar projetos falsificados usando os mesmos nomes em repositórios de código aberto, cada um contendo uma mensagem de isenção de responsabilidade, e descobriu que os aplicativos puxariam automaticamente os pacotes públicos de dependência, sem a necessidade de qualquer ação do desenvolvedor. Em alguns casos, como com os pacotes PyPI, qualquer pacote com uma versão superior seria priorizado, independentemente de onde estivesse localizado. Isso permitiu que Birsan atacasse com sucesso a cadeia de suprimentos de software de várias empresas.
Ao verificar que seu componente havia se infiltrado com sucesso na rede corporativa, Birsan relatou suas descobertas à empresa em questão e alguns o recompensaram com uma recompensa por bug. A Microsoft concedeu a ele sua maior recompensa por bug de $ 40.000 e lançou um white paper sobre este problema de segurança, enquanto a Apple disse BleepingComputer que Birsan receberá uma recompensa por meio do programa Apple Security Bounty por divulgar o problema de maneira responsável. Birsan já ganhou mais de $ 130.000 por meio de programas de recompensa de insetos e arranjos de testes de penetração pré-aprovados.
Uma explicação completa da metodologia por trás do ataque é disponível na casa de Alex Birsan Médio página .
Tags: segurança cibernética, recompensa por bug
Publicações Populares