NCSC warnt vor zunehmendem Risiko durch Angriffe auf die Software-Lieferkette

Das britische National Cyber Security Centre (NCSC) hat gewarnt, dass Angreifer zunehmend Open-Source-Softwarepakete ins Visier nehmen, um über die Software-Lieferkette Schadsoftware zu verbreiten. Nach Angaben der Behörde sorgen der Umfang und der hohe Automatisierungsgrad moderner Entwicklungsprozesse dafür, dass solche Vorfälle schwerer zu erkennen und potenziell weitaus folgenschwerer sind.

Moderne Softwareprojekte hängen häufig von zahlreichen externen Bibliotheken, Frameworks, SDKs und kleinen Hilfspaketen ab. Diese Abhängigkeit kann die Entwicklung beschleunigen, schafft jedoch zugleich eine große Angriffsfläche. In Ökosystemen wie Node.js, Rust und Python, in denen Entwickler häufig auf Komponenten und Paketregister von Drittanbietern zurückgreifen, kann eine einzige kompromittierte Abhängigkeit sich auf zahlreiche Produkte und Dienste ausweiten.

Das NCSC erklärt, dass jüngste Vorfälle im Zusammenhang mit weit verbreiteten Paketmanagern wie npm und PyPI zeigen, wie Angreifer vertrauenswürdige Entwicklungsabläufe missbrauchen. In einigen Fällen wurde Schadcode über Entwicklerkonten, Paketaktualisierungen oder automatisierte Build- und Bereitstellungspipelines eingeschleust. Da diese Systeme Code häufig ohne oder mit nur geringer manueller Prüfung installieren und ausführen, können sich schädliche Pakete schnell verbreiten, bevor die Verteidiger sie bemerken.

Methoden aus jüngsten Angriffen

• Übernahme von Konten von Paketverantwortlichen mithilfe gestohlener Zugangsdaten oder Tokens
• Übernahme verwaister Pakete oder Domains, die mit Paketverantwortlichen verbunden sind
• Typosquatting zur Veröffentlichung ähnlich aussehender Pakete mit irreführenden Namen
• Einschleusen schädlicher Skripte in Installations- oder Build-Prozesse

Die Behörde weist außerdem darauf hin, dass Entwicklergeräte häufig weniger streng verwaltet werden als Unternehmensendgeräte und dadurch attraktive Ziele für den Diebstahl von Zugangsdaten und den Erstzugriff darstellen. Offene Veröffentlichungsmodelle können das Risiko zusätzlich erhöhen, wenn Paketregister Schutzmaßnahmen wie die Multi-Faktor-Authentifizierung nicht durchgehend durchsetzen.

Um die Gefährdung zu verringern, empfiehlt das NCSC Organisationen, ihre Abhängigkeiten zu erfassen und zu überprüfen, auf verdächtige Änderungen zu achten und die Kontrollen für die Paketinstallation und Build-Automatisierung zu verschärfen. Sicherheitsteams sollten außerdem prüfen, ob interne Software ein kompromittiertes Paket enthalten könnte, und schnell handeln, wenn Anzeichen für eine Gefährdung festgestellt werden.

Auch wenn Softwareökosysteme stärkere Schutzmaßnahmen einführen, erklärt das NCSC, dass Organisationen Abhängigkeitsrisiken weiterhin aktiv verwalten müssen, um die Auswirkungen einer Kompromittierung der Lieferkette zu begrenzen.