Il NCSC avverte dell’aumento del rischio di attacchi alla catena di approvvigionamento software

Il National Cyber Security Centre (NCSC) del Regno Unito ha avvertito che gli aggressori prendono sempre più di mira i pacchetti software open source per distribuire malware attraverso la catena di approvvigionamento del software. L’agenzia afferma che la portata e l’automazione dello sviluppo moderno rendono questi incidenti più difficili da individuare e potenzialmente molto più dannosi.

I progetti software moderni dipendono spesso da numerose librerie esterne, framework, SDK e piccoli pacchetti di supporto. Questa dipendenza può accelerare lo sviluppo, ma crea anche un’ampia superficie di attacco. In ecosistemi come Node.js, Rust e Python, dove gli sviluppatori fanno spesso affidamento su componenti di terze parti e registri di pacchetti, una singola dipendenza compromessa può propagarsi a numerosi prodotti e servizi.

Secondo il NCSC, gli incidenti recenti che hanno interessato gestori di pacchetti ampiamente utilizzati come npm e PyPI dimostrano come gli aggressori stiano abusando di flussi di lavoro di sviluppo affidabili. In alcuni casi, il codice dannoso è stato introdotto attraverso account di sviluppatori, aggiornamenti dei pacchetti o pipeline automatizzate di compilazione e distribuzione. Poiché questi sistemi spesso installano ed eseguono codice con una revisione manuale minima o assente, i pacchetti dannosi possono diffondersi rapidamente prima che i responsabili della difesa se ne accorgano.

Metodi osservati negli attacchi recenti

• Compromissione degli account dei manutentori tramite credenziali o token rubati
• Acquisizione di pacchetti abbandonati o domini collegati ai proprietari dei pacchetti
• Ricorso al typosquatting per pubblicare pacchetti simili con nomi ingannevoli
• Inserimento di script dannosi nei processi di installazione o compilazione

L’agenzia sottolinea inoltre che i dispositivi degli sviluppatori sono spesso gestiti in modo meno rigoroso rispetto agli endpoint aziendali, il che li rende obiettivi interessanti per il furto di credenziali e l’accesso iniziale. I modelli di pubblicazione aperti possono aumentare ulteriormente il rischio quando i registri non applicano in modo coerente misure di protezione come l’autenticazione a più fattori.

Per ridurre l’esposizione, il NCSC raccomanda alle organizzazioni di mappare e verificare le proprie dipendenze, monitorare eventuali modifiche sospette e rafforzare i controlli sull’installazione dei pacchetti e sull’automazione delle compilazioni. I team di sicurezza sono inoltre invitati a verificare se il software interno possa aver incorporato un pacchetto compromesso e ad agire rapidamente qualora vengano rilevati segnali di esposizione.

Sebbene gli ecosistemi software stiano introducendo misure di sicurezza più efficaci, il NCSC afferma che le organizzazioni devono comunque gestire attivamente il rischio legato alle dipendenze per limitare l’impatto della compromissione della catena di approvvigionamento.