การรั่วไหลของ s1ngularity: บัญชี 2,180 บัญชีและที่เก็บ 7,200 แห่ง

การสืบสวนล่าสุดเกี่ยวกับการโจมตีซัพพลายเชนที่เรียกว่า "s1ngularity" ต่อ Nx เผยให้เห็นการรั่วไหลของข้อมูลประจำตัวครั้งใหญ่: โทเค็นบัญชีและความลับของที่เก็บข้อมูลนับพันถูกเปิดเผย ซึ่งส่งผลกระทบในหลายระยะของเหตุการณ์ รายงานหลังเหตุการณ์จาก Wiz ได้บันทึกขอบเขตและให้ข้อมูลเชิงลึกเกี่ยวกับวิวัฒนาการและผลกระทบของการขโมยข้อมูล 🚨📊

ตามการประเมินที่เผยแพร่โดยนักวิจัย Wiz การละเมิดดังกล่าวส่งผลให้บัญชี 2,180 บัญชีและที่เก็บข้อมูล 7,200 รายการถูกเปิดเผยในสามระยะที่แตกต่างกัน โดยที่ความลับจำนวนมากยังคงถูกต้องและ ความเสี่ยงที่จะเกิดความเสียหายต่อเนื่องเอกสารไวท์เปเปอร์ให้รายละเอียดเกี่ยวกับไทม์ไลน์ เทคนิคของผู้โจมตี และลักษณะของความลับที่รั่วไหล 🔍📈

การโจมตีห่วงโซ่อุปทาน Nx ⚠️🚀

Nx เป็นระบบสร้างและจัดการแบบโอเพนซอร์สที่ใช้พื้นที่เก็บข้อมูลเดียว ซึ่งใช้งานกันอย่างแพร่หลายในระบบนิเวศ JavaScript/TypeScript ระดับองค์กร ด้วยยอดดาวน์โหลดหลายล้านครั้งต่อสัปดาห์บน NPM Registry แพ็คเกจที่ถูกบุกรุกจึงส่งผลกระทบอย่างกว้างขวางต่อการผสานรวมและขั้นตอนการพัฒนาจำนวนมาก ⚙️

เวกเตอร์ประนีประนอมและวันที่เกิดเหตุ 📅

เมื่อวันที่ 26 สิงหาคม 2025 ผู้โจมตีได้ใช้ประโยชน์จากเวิร์กโฟลว์ GitHub Actions ที่มีช่องโหว่ในคลังข้อมูล Nx เพื่อเผยแพร่แพ็กเกจเวอร์ชันที่เป็นอันตรายไปยัง NPM แพ็กเกจดังกล่าวมีสคริปต์หลังการติดตั้งที่เป็นอันตรายชื่อ "telemetry.js" ซึ่งทำหน้าที่เป็นมัลแวร์ตัวดึงข้อมูลประจำตัวในระบบที่ได้รับผลกระทบ 🔥

มัลแวร์ Telemetry.js ทำงานอย่างไร 🕵️‍♂️

El malware telemetry.js actuó como un ladrón de credenciales en Linux y macOS, intentando robar tokens de GitHub, tokens de npm, claves SSH, archivos .env, carteras de criptomonedas y otros secretos, para luego subirlos a repositorios públicos de GitHub nombrados «s1ngularity-repository. Este patrón permitió al atacante centralizar y exponer la información robada. 🔐

ผู้โจมตียังได้ผสานรวมเครื่องมือบรรทัดคำสั่งสำหรับแพลตฟอร์ม AI (เช่น Claude, Q และ Gemini) เพื่อทำให้การค้นหาและเก็บเกี่ยวข้อมูลเป็นแบบอัตโนมัติโดยใช้คำสั่งแบบเจาะจงเป้าหมาย Wiz ได้บันทึกวิวัฒนาการของคำสั่งระหว่างการโจมตี โดยเพิ่มประสิทธิภาพการสกัดข้อมูลและหลีกเลี่ยงการปฏิเสธแบบจำลองสำหรับคำสั่งบางคำสั่ง ซึ่งสะท้อนให้เห็นถึงการปรับตัวของผู้โจมตีกับเทคนิค LLM อย่างแข็งขัน ✨💡

ระยะการกระทบ: รัศมีความเสียหายและเฟส 📈🔥

เหตุการณ์นี้เกิดขึ้นเป็นสามระยะ ระยะแรกระหว่างวันที่ 26-27 สิงหาคม เวอร์ชัน Nx ที่ถูกบุกรุกส่งผลกระทบโดยตรงต่อผู้ใช้ 1,700 ราย และรั่วไหลข้อมูลลับเฉพาะมากกว่า 2,000 รายการ นอกจากนี้ยังเปิดเผยไฟล์ประมาณ 20,000 ไฟล์จากระบบที่ติดไวรัส GitHub เข้ามาแทรกแซง แต่ข้อมูลส่วนใหญ่ถูกคัดลอกไปแล้ว

• 🔹 ระยะที่ 1 (26–27 สิงหาคม): ผู้ใช้ 1,700 รายได้รับผลกระทบ มีข้อมูลลับรั่วไหลประมาณ 2,000 รายการ และไฟล์ถูกบุกรุก 20,000 ไฟล์
• 🔸 ระยะที่ 2 (28–29 สิงหาคม): การใช้โทเค็นที่รั่วไหลเพื่อแปลงที่เก็บข้อมูลส่วนตัวเป็นสาธารณะ บัญชีเพิ่มอีก 480 บัญชีถูกบุกรุกและที่เก็บข้อมูล 6,700 แห่งถูกเปิดเผย
• 🔹 ระยะที่ 3 (ตั้งแต่วันที่ 31 สิงหาคม): การโจมตีโดยกำหนดเป้าหมายองค์กรที่เป็นเหยื่อโดยใช้ บัญชีที่ถูกบุกรุกเพื่อเผยแพร่ ที่เก็บข้อมูลส่วนตัวเพิ่มขึ้นอีก 500 แห่ง

ในระยะที่สอง ผู้โจมตีได้ใช้โทเค็น GitHub ที่ขโมยมาเพื่อเปิดเผยคลังข้อมูลส่วนตัวสาธารณะ และเปลี่ยนชื่อเป็นสตริง 's1ngularity' เพื่อเพิ่มโอกาสการถูกโจมตี ในระยะที่สาม มีการใช้เป้าหมายเฉพาะเพื่อเผยแพร่คลังข้อมูลส่วนตัวเพิ่มเติมอีกหลายร้อยแห่ง ซึ่งแสดงให้เห็นถึงความต่อเนื่องและการขยายขอบเขตการโจมตีของผู้โจมตี 🎯

การตอบสนองและการบรรเทาผลกระทบโครงการ Nx 🔧✅

ทีม Nx ได้เผยแพร่การวิเคราะห์สาเหตุหลักบน GitHub โดยอธิบายว่าการแทรกในชื่อของคำขอแบบ Pull Request ร่วมกับการใช้ Pull_request_target ที่ไม่ปลอดภัย ทำให้สามารถรันโค้ดตามอำเภอใจด้วยสิทธิ์ที่สูงกว่า ทำให้เกิดกระบวนการเผยแพร่และอำนวยความสะดวกในการแยกโทเค็นการเผยแพร่ npm 🛠️

การดำเนินการที่นำมาใช้ประกอบด้วยการลบแพ็กเกจที่เป็นอันตราย การเพิกถอนและหมุนเวียนโทเค็นที่ถูกบุกรุก และการกำหนดการยืนยันตัวตนแบบสองปัจจัยสำหรับบัญชีผู้เผยแพร่ทั้งหมด นอกจากนี้ Nx ยังนำโมเดล Trusted Publisher ของ NPM มาใช้ และเพิ่มการอนุมัติด้วยตนเองสำหรับเวิร์กโฟลว์ที่ทริกเกอร์โดย PR 🔐📌

เคล็ดลับด่วนและประเด็นสำคัญ ✏️

• ✅ ตรวจสอบและหมุนเวียนโทเค็นและความลับทันทีหากสงสัยว่ามีการบุกรุก
• 📌 หลีกเลี่ยงการใช้ pull_request_target ที่ไม่ปลอดภัยและบังคับใช้การอนุมัติด้วยตนเองในโฟลว์ที่ละเอียดอ่อน
• 🔧 นำการตรวจสอบปัจจัยหลายประการและรูปแบบการเผยแพร่ที่เชื่อถือได้ เช่น ผู้เผยแพร่ที่เชื่อถือได้ มาใช้
• ⚡ ตรวจสอบที่เก็บข้อมูลสาธารณะและดำเนินการค้นหาความลับอัตโนมัติเพื่อการตรวจจับในระยะเริ่มต้น

สภาพแวดล้อม TP3T จำนวน 461 แห่งมีรหัสผ่านที่ถูกขโมย ซึ่งเพิ่มขึ้นเกือบสองเท่าจาก 251 แห่งของ TP3T ในปีก่อนหน้า รับรายงาน Picus Blue Report 2025 เพื่อการวิเคราะห์ที่ครอบคลุมเกี่ยวกับการป้องกัน การตรวจจับ และแนวโน้มการขโมยข้อมูล 📈

รายงานนี้ให้ข้อมูลการวัด คำแนะนำ และกรณีศึกษาเพื่อเสริมสร้างการป้องกันและปรับปรุงการตอบสนองต่อการรั่วไหลของข้อมูล