Πώς σαράντα λεπτά παραβιασμένου κώδικα AI άδειασαν τα ψηφιακά θησαυροφυλάκια τεχνολογικών κολοσσών

Μια σύγχρονη στοίβα ασφαλείας επιχειρήσεων κοστίζει εκατομμύρια δολάρια σε τέλη αδειοδότησης και προσωπικού. Αυτοί οι οργανισμοί αναπτύσσουν σαρωτές ευπαθειών κορυφαίου επιπέδου και αυστηρούς ελέγχους πρόσβασης για να διατηρήσουν μια ισχυρή περίμετρο. Ωστόσο, ένα παράθυρο σαράντα λεπτών τον Μάρτιο απέδειξε ότι μια μεμονωμένη κακόβουλη εξάρτηση σε ένα δημοφιλές εργαλείο AI είναι αρκετή για να παρακάμψει πλήρως αυτές τις άμυνες. Η επίθεση στην εφοδιαστική αλυσίδα του LiteLLM είχε ως αποτέλεσμα την εξόρυξη terabytes ευαίσθητων διαπιστευτηρίων από μερικά από τα πιο ασφαλή περιβάλλοντα στον πλανήτη, συμπεριλαμβανομένων εκείνων που διαχειρίζονται η Microsoft, η Amazon και η Samsung.

Από την πλευρά του κινδύνου, αυτό το περιστατικό αποκαλύπτει μια συστημική αποτυχία στον τρόπο με τον οποίο ελέγχουμε τα εργαλεία που χρησιμοποιούνται για την κατασκευή λογισμικού που βασίζεται στην τεχνητή νοημοσύνη. Η παραβίαση δεν συνέβη λόγω κάποιου ελαττώματος στην ίδια την τεχνητή νοημοσύνη. Συνέβη επειδή η υποδομή DevOps που χρησιμοποιούμε για την ανάπτυξη AI είναι εύθραυστη. Όταν προγραμματιστές σε 2.500 οργανισμούς κατέβασαν τις εκδόσεις 1.82.7 και 1.82.8 του LiteLLM από το Python Package Index, κάλεσαν άθελά τους έναν ψηφιακό Δούρειο Ίππο στα πιο ευαίσθητα συστήματά τους.

Το παράδοξο του ασφαλούς σαρωτή

Η πιο συγκλονιστική πτυχή αυτής της παραβίασης είναι η προέλευσή της. Η μόλυνση ξεκίνησε με μια επίθεση στην εφοδιαστική αλυσίδα στο Trivy, έναν ευρέως σεβαστό σαρωτή ευπαθειών ανοιχτού κώδικα. Οι οργανισμοί χρησιμοποιούν το Trivy ειδικά για να βρουν κενά ασφαλείας. Μολύνοντας το εργαλείο που προορίζεται να παρέχει ασφάλεια, οι επιτιθέμενοι απέκτησαν μια θέση απόλυτης εμπιστοσύνης. Στο παρασκήνιο, οι επιτιθέμενοι εκμεταλλεύτηκαν ένα σφάλμα στον τρόπο με τον οποίο οι προγραμματιστές του Trivy διαχειρίζονταν τα διακριτικά αυτοματισμού (automation tokens). Παρόλο που η ομάδα προσπάθησε να αντικαταστήσει ένα παραβιασμένο διακριτικό, απέτυχε να το ανακαλέσει πλήρως για είκοσι ημέρες. Αυτή η παράβλεψη έδωσε στους κακόβουλους παράγοντες ένα παράθυρο τριών εβδομάδων για να προωθήσουν με τη βία κακόβουλο κώδικα σε επόμενες εκδόσεις.

Αυτή η μόλυνση εξαπλώθηκε σε άλλα πακέτα λογισμικού, συμπεριλαμβανομένων των KICS και του Telnyx Python SDK, προτού καταλήξει στο LiteLLM. Αυτό δημιουργεί ένα αρχιτεκτονικό παράδοξο όπου τα ίδια τα εργαλεία που έχουν σχεδιαστεί για να θωρακίζουν την επιφάνεια επίθεσης γίνονται ο πρωταρχικός φορέας εκμετάλλευσης. Στην εμπειρία μου από τον έλεγχο περιβαλλόντων cloud, συχνά διαπιστώνω ότι οι ομάδες εμπιστεύονται τυφλά τα εργαλεία ασφαλείας τους. Υποθέτουν ότι εάν ένας σαρωτής είναι επίσημος και δημοφιλής, η ακεραιότητά του είναι εγγυημένη. Αυτό το περιστατικό αποδεικνύει ότι μια τέτοια υπόθεση αποτελεί κρίσιμη ευπάθεια.

Ένα παράθυρο σαράντα λεπτών στην καρδιά του cloud

Το πραγματικό παράθυρο ενεργής μόλυνσης για το LiteLLM ήταν εξαιρετικά σύντομο. Για μόνο σαράντα λεπτά, οι παραβιασμένες εκδόσεις ήταν διαθέσιμες στο επίσημο αποθετήριο Python Package Index (PyPI). Σε αυτό το σύντομο χρονικό διάστημα, αυτοματοποιημένες γραμμές παραγωγής CI/CD και προγραμματιστές σε όλο τον κόσμο άντλησαν τον κακόβουλο κώδικα. Η ταχύτητα της σύγχρονης παράδοσης λογισμικού σημαίνει ότι τα σαράντα λεπτά είναι υπεραρκετός χρόνος για να μολυνθούν εκατοντάδες χιλιάδες συστήματα.

Οι εταιρείες ασφαλείας CloudSEK και Hudson Rock ανέλυσαν τις συνέπειες αφού απέκτησαν ένα αρχείο 195TB που περιείχε τα κλεμμένα δεδομένα. Ο τεράστιος όγκος πληροφοριών είναι συγκλονιστικός. Η διαρροή περιλαμβάνει κλειδιά cloud, διακριτικά αποθετηρίων, κλειδιά SSH και μυστικά Kubernetes. Αυτά είναι τα κύρια κλειδιά του ψηφιακού βασιλείου. Μιλώντας προληπτικά, το γεγονός ότι ένα παράθυρο σαράντα λεπτών θα μπορούσε να αποδώσει terabytes δεδομένων υποδηλώνει ότι ο μολυσμένος κώδικας ήταν εξαιρετικά αποτελεσματικός στον εντοπισμό και την εξαγωγή μυστικών υψηλής αξίας.

Memory scraping και το τοξικό περιουσιακό στοιχείο των αποθηκευμένων μυστικών

Ο μηχανισμός της επίθεσης ήταν ταυτόχρονα απλός και καταστροφικός. Οι παραβιασμένες εκδόσεις του LiteLLM περιείχαν κώδικα σχεδιασμένο να αποκτά πρόσβαση στη μνήμη του μολυσμένου μηχανήματος. Οι περισσότεροι προγραμματιστές πιστεύουν ότι εάν ένα μυστικό δεν είναι αποθηκευμένο σε ένα αρχείο κειμένου, είναι ασφαλές. Αυτό είναι μια πλάνη. Ο κακόβουλος κώδικας σάρωσε τα περιεχόμενα της μνήμης του συστήματος (memory scraping), αναζητώντας μεταβλητές περιβάλλοντος και ενεργά διακριτικά συνεδρίας.

Τα δεδομένα είναι ένα τοξικό περιουσιακό στοιχείο όταν η διαχείρισή τους γίνεται με ακατάλληλο τρόπο. Σε αυτή την περίπτωση, τα "δεδομένα" αποτελούνταν από τα διαπιστευτήρια που απαιτούνται για τη διαχείριση 434.000 γραμμών παραγωγής CI/CD. Αυτές οι γραμμές παραγωγής είναι οι γραμμές συναρμολόγησης της ανάπτυξης λογισμικού. Εάν ένας επιτιθέμενος έχει τα διαπιστευτήρια μιας γραμμής παραγωγής, μπορεί να εισάγει τον δικό του κώδικα σε κάθε μελλοντική ενημέρωση που κυκλοφορεί η εταιρεία στους πελάτες της. Οι ερευνητές σημείωσαν ότι πολλά από αυτά τα διαπιστευτήρια ήταν μεταβλητές απλού κειμένου που βρίσκονταν στη μνήμη, εντελώς απροστάτευτες. Τα συλλεχθέντα δεδομένα περιλαμβάνουν ενεργούς κωδικούς πρόσβασης βάσεων δεδομένων και κλειδιά API τρίτων που στερούνται οποιασδήποτε πληροφορίας ταυτοποίησης, καθιστώντας δύσκολο για τους ερευνητές ακόμη και να ειδοποιήσουν τα σωστά θύματα.

Η εφηβική απειλή και η πραγματικότητα της μυωπίας του DevOps

Η ευθύνη για την επίθεση ανήκει στην TeamPCP, μια ομάδα που αποτελείται σε μεγάλο βαθμό από εφήβους. Αν και οι μέθοδοί τους μπορεί να μην περιλάμβαναν εκμεταλλεύσεις zero-day υψηλής πολυπλοκότητας, η επιτυχία τους είναι αναμφισβήτητη. Ο ανεξάρτητος ερευνητής ασφαλείας Kevin Beaumont σημείωσε ότι αυτοί οι επιτιθέμενοι ξεπερνούν οργανισμούς που επί του παρόντος έχουν εμμονή με τη βιαστική προώθηση προϊόντων AI στην αγορά.

Αυτή η βιασύνη δημιουργεί μυωπία στο DevOps. Οι οργανισμοί δίνουν προτεραιότητα στην ταχύτητα ενσωμάτωσης του AI έναντι της βασικής υγιεινής της ασφάλειας της εφοδιαστικής αλυσίδας λογισμικού. Όταν επικοινωνώ με white-hat hackers μέσω κρυπτογραφημένων καναλιών, η συναίνεση είναι πάντα η ίδια: δεν χρειάζεστε μια εξελιγμένη εκμετάλλευση εάν ο στόχος αφήνει την πόρτα ξεκλείδωτη. Εστιάζοντας στο "επόμενο μεγάλο πράγμα" στην τεχνητή νοημοσύνη, πολλές εταιρείες αγνόησαν τη βασική απαίτηση επαλήθευσης της ακεραιότητας των εξαρτήσεών τους.

Η αποτυχία της ελλιπούς εναλλαγής διαπιστευτηρίων

Ίσως το πιο ανησυχητικό μέρος αυτής της ιστορίας είναι η αντιδραστική στάση των επηρεαζόμενων οργανισμών. Μετά την αποκάλυψη της παραβίασης, αρκετές μεγάλες εταιρείες τεχνολογίας ισχυρίστηκαν ότι είχαν ήδη αντικαταστήσει τα κλειδιά τους και ότι το περιστατικό ήταν ασήμαντο. Ωστόσο, οι προσπάθειες επαλήθευσης από την κοινότητα ασφαλείας αποκάλυψαν μια διαφορετική εικόνα.

Ο Kevin Beaumont ανέφερε ότι αφού μια μεγάλη αμερικανική εταιρεία τεχνολογίας ισχυρίστηκε ότι όλα τα διαπιστευτήρια είχαν αντικατασταθεί, δοκίμασε τα κλειδιά που διέρρευσαν στην δημόσια υποδομή τους. Σχεδόν κάθε κλειδί εξακολουθούσε να λειτουργεί. Αυτό υποδηλώνει μια επιφανειακή προσέγγιση στην απόκριση σε περιστατικά. Η εναλλαγή (rotation) ενός κλειδιού δεν είναι το ίδιο με την ανάκλησή του. Εάν το παλιό κλειδί εξακολουθεί να ισχύει σε ένα δευτερεύον σύστημα ή σε ένα παλαιού τύπου περιβάλλον, η παραβίαση παραμένει ενεργή. Σε περίπτωση παραβίασης αυτού του μεγέθους, ένας οργανισμός πρέπει να υποθέσει ότι κάθε μυστικό που είναι προσβάσιμο στο μολυσμένο περιβάλλον έχει παραβιαστεί. Μια μερική εναλλαγή είναι ουσιαστικά μηδενική εναλλαγή.

Πρακτικά βήματα για την ανθεκτικότητα της εφοδιαστικής αλυσίδας

Εάν ο οργανισμός σας χρησιμοποιεί το LiteLLM, το Trivy ή οποιαδήποτε υποδομή διακομιστή μεσολάβησης AI, ο χρόνος για παθητική αντίδραση έχει παρέλθει. Η αξιολόγηση της επιφάνειας επίθεσης απαιτεί έναν λεπτομερή έλεγχο κάθε διαπιστευτηρίου που πέρασε από τις γραμμές παραγωγής CI/CD τους τελευταίους έξι μήνες.

Λίστα Άμεσης Αντιμετώπισης:

• Επαλήθευση Εκδόσεων: Ελέγξτε το περιβάλλον σας για τις εκδόσεις LiteLLM 1.82.7 και 1.82.8. Ακόμα κι αν έχετε ενημερώσει έκτοτε, τα δεδομένα πιθανότατα εξήχθησαν κατά το παράθυρο που αυτές οι εκδόσεις ήταν ενεργές.
• Επιθετική Ανάκληση Διαπιστευτηρίων: Μην ενημερώνετε απλώς τους κωδικούς πρόσβασης. Ακυρώστε και αντικαταστήστε κάθε κλειδί cloud (AWS/Azure/GCP), διακριτικό λογαριασμού υπηρεσίας Kubernetes και Προσωπικό Διακριτικό Πρόσβασης (PAT) Git που υπήρχε στις μεταβλητές περιβάλλοντος σας.
• Καταγραφή Ελέγχου και Έξοδος Δεδομένων: Αναζητήστε ασυνήθιστη εξερχόμενη κίνηση προς άγνωστες διευθύνσεις IP κατά τον μήνα Μάρτιο. Η εξαγωγή terabytes δεδομένων θα έπρεπε να είχε προκαλέσει ειδοποιήσεις φιλτραρίσματος εξόδου, εάν είχαν ρυθμιστεί σωστά.
• Εφαρμογή Pinning και Hashing: Στο εξής, μην επιτρέπετε στις γραμμές παραγωγής CI/CD να αντλούν την "τελευταία" έκδοση ενός πακέτου. Χρησιμοποιήστε το pinning εξαρτήσεων και επαληθεύστε τους κατακερματισμούς SHA-256 κάθε εξωτερικής βιβλιοθήκης πριν εισέλθει στο περιβάλλον κατασκευής σας.

Η κλίμακα αυτής της επίθεσης ωθεί τον κλάδο σε μια νέα πραγματικότητα. Η περίμετρος του δικτύου είναι μια ξεπερασμένη τάφρος κάστρου σε μια εποχή που κατεβάζουμε οικειοθελώς κώδικα από το διαδίκτυο κάθε λίγα λεπτά. Ως αντίμετρο, οι οργανισμοί πρέπει να αντιμετωπίζουν κάθε εξωτερική εξάρτηση ως δυνητικά κακόβουλη μέχρι να αποδειχθεί το αντίθετο. Η ασφάλεια δεν είναι μια λίστα ελέγχου που συμπληρώνετε μία φορά το χρόνο· είναι μια συνεχής διαδικασία επαλήθευσης.

Πηγές:

• CloudSEK Threat Intelligence Report on LiteLLM Supply Chain Attack
• Hudson Rock Analysis of TeamPCP Data Dump
• MITRE ATT&CK Framework: Supply Chain Compromise (T1195)
• NIST Software Supply Chain Security Guidance

Αποποίηση ευθύνης: Αυτό το άρθρο προορίζεται μόνο για ενημερωτικούς και εκπαιδευτικούς σκοπούς και δεν αντικαθιστά έναν επαγγελματικό έλεγχο κυβερνοασφάλειας ή μια υπηρεσία απόκρισης σε περιστατικά.