Современная разработка программного обеспечения зависит от пакетов с открытым исходным кодом. Разработчики и агенты на базе ИК могут быстро добавлять новые зависимости и версии в проекты, помогая командам создавать и выпускать продукты быстрее.
Но эта скорость создает проблему для команд безопасности. Когда доверенный пакет оказывается скомпрометирован, вредоносный код может проникнуть в среды разработки и конвейеры сборки до того, как традиционные базы данных уязвимостей отметят эту угрозу.
Организации не могут вручную проверять или блокировать каждое обновление базовых пакетов без замедления разработки. Поэтому большинство организаций сканируют вновь загруженные пакеты на предмет известных уязвимостей и при необходимости блокируют их. Однако атаки нулевого дня на цепочку поставок не появляются в базах данных уязвимостей сразу; кроме того, поскольку популярные пакеты уже пользуются доверием, рабочие процессы разработчиков и конвейеры сборки часто настроены на автоматическую загрузку их последних версий. Если злоумышленник компрометирует один из таких пакетов, вредоносное обновление может распространиться по всей среде еще до публикации CVE, оставляя команды безопасности в роли догоняющих.
Компрометация доверенных пакетов «в дикой природе»
Наша собственная исследовательская команда отмечает применение этой техники на практике чаще, чем когда-либо прежде. Во втором полугодии 2025 года заметные атаки на цепочку поставок составили около 10% от общего числа значительных инцидентов. В первом полугодии 2026 года этот показатель вырос до 25%, и теперь на заметные атаки на цепочку поставок приходится 1 из 4 значительных инцидентов безопасности. Например, во время инцидента с Axios неизвестный злоумышленник взломал учетную запись npm мэйнтейнера и опубликовал две вредоносные версии npm-пакета (v1.14.1, v0.30.4), которые добавили зависимость от plain-crypto-js — недавно созданного вредоносного пакета.
Хотя вредоносные версии были удалены в течение нескольких часов, это не означало, что угроза исчезла. Согласно собственным наблюдениям команды Wiz Research, на тот момент Axios присутствовал примерно в 80% облачных сред и сред разработки и скачивался около 100 миллионов раз в неделю. Популярность пакета обеспечила быстрое распространение: его выполнение было зафиксировано в 3% затронутых сред. Эта ситуация подчеркивает важность скорости при защите от атак на цепочку поставок.
Обнаружение вредоносных пакетов в момент публикации
Традиционно команды безопасности узнают о компрометации доверенного пакета из бюллетеней об угрозах или обновлений баз данных уязвимостей. В идеальном мире команды могли бы использовать проактивный подход к обеспечению безопасности цепочки поставок ПО, точно зная, какие пакеты, опубликованные в npm, являются чистыми, предотвращая установку остальных и получая оповещения о вредоносных версиях во всех инструментах.
Именно поэтому мы создали специализированный конвейер обнаружения угроз в цепочке поставок для анализа новых пакетов и версий сразу после их публикации в npm. Это позволяет нам отмечать вредоносные пакеты и добавлять правила обнаружения в Wiz Defend, а также в конвейеры кода и облачные конвейеры — и все это до публикации официального CVE.
Вот как это работает:
- Когда выпускается новая версия пакета, конвейер загружает и распаковывает текущую и предыдущие версии для сравнения.
Когда выпускается новая версия пакета, конвейер загружает и распаковывает текущую и предыдущие версии для сравнения.
- Методы статичного анализа выявляют подозрительные файлы. Этот анализ передается в наш движок ИИ-классификатора, который выдает первоначальный вердикт.
Методы статичного анализа выявляют подозрительные файлы. Этот анализ передается в наш движок ИИ-классификатора, который выдает первоначальный вердикт.
- Подозрительные версии проходят динамический анализ для проверки вердикта. Этот динамический анализ включает в себя глубокую работу по изучению содержимого файлов, в том числе: Установку версии пакета в песочнице (sandbox) для мониторинга активности во время выполнения. Импорт версии и экспортированных модулей. Запуск пакета из CLI (где это возможно).
Подозрительные версии проходят динамический анализ для проверки вердикта. Этот динамический анализ включает в себя глубокую работу по изучению содержимого файлов, включая:
- Установку версии пакета в изолированной среде (sandbox) для мониторинга активности во время выполнения.
Установку версии пакета в изолированной среде (sandbox) для мониторинга активности во время выполнения.
- Импорт версии и экспортированных модулей.
Импорт версии и экспортированных модулей.
- Запуск пакета из интерфейса командной строки (CLI) (где это возможно).
Запуск пакета из интерфейса командной строки (CLI) (где это возможно).
- Датчик Wiz Sensor отслеживает поведение во время выполнения для выявления вредоносной активности. Это помогает конвейеру подтвердить подозрительный вердикт и предоставляет нашему ИИ-классификатору дополнительные доказательства.
Датчик Wiz Sensor отслеживает поведение во время выполнения для выявления вредоносной активности. Это помогает конвейеру подтвердить подозрительный вердикт и предоставляет нашему ИИ-классификатору дополнительные доказательства.
- ИИ-классификатор выносит окончательный вердикт на основе всех предыдущих анализов. Как только версия признается вредоносной, конвейер автоматически публикует индикаторы компрометации (IOC) в службе репутации Wiz. Это гарантирует, что клиенты Wiz будут получать оповещения о появлении пакета в их среде посредством: Уведомлений центра анализа угроз о скомпрометированных пакетах, чтобы команды могли понять, затронуты ли они. Конвейеров сканирования кода и облаков, выявляющих находки вредоносных пакетов везде, где они обнаружены. Wiz Defend с автоматически обновляемыми правилами обнаружения вредоносных пакетов и настраиваемыми политиками обнаружения и реагирования во время выполнения.
ИИ-классификатор выносит окончательный вердикт на основе всех предыдущих анализов. Как только версия признается вредоносной, конвейер автоматически публикует индикаторы компрометации (IOC) в службе репутации Wiz. Это гарантирует, что клиенты Wiz будут получать оповещения о появлении пакета в их среде через:
- Уведомления центра анализа угроз о скомпрометированных пакетах, позволяющие командам понять, затронуты ли они.
Уведомления центра анализа угроз о скомпрометированных пакетах, позволяющие командам понять, затронуты ли они.
- Конвейеры сканирования кода и облаков, выводящие информацию о вредоносных пакетах везде, где они обнаружены.
Конвейеры сканирования кода и облаков, выводящие информацию о вредоносных пакетах везде, где они обнаружены.
- Wiz Defend с автоматически обновляемыми правилами обнаружения вредоносных пакетов и настраиваемыми политиками обнаружения и реагирования в реальном времени.
Wiz Defend с автоматически обновляемыми правилами обнаружения вредоносных пакетов и настраиваемыми политиками обнаружения и реагирования в реальном времени.
Сочетание различных методов анализа и выполнения в реальном времени позволяет нам оперативно выявлять компрометации нулевого дня, сводя к минимуму количество ложных срабатываний.
Обнаружение в реальном мире
Ярким примером работы конвейера является атака на keyv, в ходе которой несколько npm-пакетов в экосистеме keyv/cacheable были скомпрометированы после взлома учетной записи мейнтейнера GitHub. В данном конкретном случае вместо жесткого кодирования доменов управления и контроля (C2) в исходный код пакета, где статические правила могли бы легко их извлечь и заблокировать, вредоносное ПО динамически получало домены C2 во время выполнения путем запроса к смарт-контракту Ethereum. Поскольку вредоносные домены никогда не появлялись в самом коде, традиционный статический анализ сам по себе не мог выявить инфраструктуру C2.
Используя конвейер цепочки поставок, исследовательская группа Wiz Research Team смогла успешно отследить сетевую активность до вредоносного домена, автоматически обнаружив соединение с ним без вмешательства человека. Сочетание статического и динамического анализа в сочетании с ИИ-классификацией и мониторингом выполнения в реальном времени помогло конвейеру с высокой степенью уверенности пометить пакет как вредоносный. Как только вредоносный характер пакета был подтвержден, соответствующая информация автоматически передавалась в Wiz Defend и на всю платформу Wiz, позволяя клиентам обнаруживать скомпрометированные версии keyv в своих средах до публикации официального CVE.
Проактивное обнаружение скомпрометированных пакетов с помощью Wiz
Пакеты с открытым исходным кодом являются основой современной экосистемы разработки программного обеспечения. По мере ускорения рабочих процессов командам безопасности требуется видимость в реальном времени и контроль над сторонними зависимостями до того, как вредоносный код попадет на рабочие станции разработчиков или в конвейеры сборки.
Анализируя новые версии npm-пакетов по мере их публикации и распространяя проверенные данные об угрозах по всей платформе, Wiz помогает командам выявлять скомпрометированные пакеты до появления традиционных сигналов уязвимостей. Кроме того, Wiz оценивает зависимости во время каждого процесса установки или обновления, помогая командам безопасности обнаруживать и управлять рискованными или скомпрометированными версиями пакетов в точный момент их поступления.
Цель проста: предоставить командам безопасности и разработки возможность действовать со скоростью машин, обеспечивая видимость и контроль над тем, что попадает в цепочку поставок программного обеспечения.
