На прошлой неделе компания Endor Labs опубликовала отчет, раскрывающий детали серьезной атаки на цепочку поставок, направленной на популярную платформу автоматизации рабочих процессов n8n. Это первый зафиксированный случай, когда киберпреступники целенаправленно атаковали экосистему n8n. Злоумышленники загружали вредоносные пакеты в общедоступный реестр npm, тщательно маскируя их под легитимные узлы интеграции сообщества, чтобы ввести пользователей в заблуждение.
Главной целью данной кампании стала кража токенов OAuth и других конфиденциальных учетных данных разработчиков. Вредоносные пакеты были спроектированы так, чтобы имитировать поведение нормальных интеграций: они отображают стандартные экраны конфигурации и предлагают пользователям связать свои аккаунты через формы, не вызывающие подозрений. Основными мишенями для сбора данных стали учетные записи сервисов Google Ads, Stripe и Salesforce.
Технический механизм хищения данных использует архитектурные особенности самой платформы. После установки пакета и ввода данных пользователем токены первоначально сохраняются в хранилище учетных данных n8n в зашифрованном формате. В момент выполнения рабочего процесса активируется вредоносный код, который использует мастер-ключ (master key) n8n для расшифровки сохраненных токенов. После дешифровки скрипт осуществляет эксфильтрацию данных, отправляя их на удаленный сервер, находящийся под контролем атакующих.
Критическим фактором успеха атаки стало отсутствие изоляции для сторонних модулей. Узлы сообщества в n8n не имеют песочницы и обладают тем же уровнем доступа, что и сама платформа. Это позволяет вредоносному коду беспрепятственно считывать переменные среды, получать доступ к файловой системе хоста и совершать произвольные исходящие сетевые запросы, что делает компрометацию системы полной и глубокой.
Всего в ходе анализа было выявлено 8 вредоносных пакетов. Первые три из них были изучены с помощью инструмента Spectra Assure от компании ReversingLabs. Среди обнаруженных имен фигурирует «n8n-nodes-hfgjf-irtuinvcm-lasdqewriit», имитирующий интеграцию с Google Ads, и «n8n-nodes-zl-vietts», помеченный системами безопасности из-за содержания компонентов с историей вредоносной активности. Обновленная версия пакета «n8n-nodes-gg-udhasudsh-hgjkhg-official» появилась в реестре всего за три часа до публикации отчета, что свидетельствует о продолжающемся характере атаки.
Исследователи Киран Радж (Kiran Raj) и Хенрик Плейт (Henrik Plate) отмечают, что данный инцидент знаменует собой эскалацию угроз в сфере цепочек поставок ПО. Наблюдается явный сдвиг тактики злоумышленников: от попыток кражи учетных данных отдельных разработчиков они переходят к атакам на «централизованные хранилища учетных данных», которыми и являются платформы автоматизации рабочих процессов. По словам экспертов Endor Labs, этот метод создает «тихую и высокоэффективную точку входа», поскольку один установленный пакет обеспечивает глубокую видимость инфраструктуры жертвы.
В качестве меры защиты пользователям self-hosted инстансов рекомендуется изменить переменную конфигурации
Изображение носит иллюстративный характер
Главной целью данной кампании стала кража токенов OAuth и других конфиденциальных учетных данных разработчиков. Вредоносные пакеты были спроектированы так, чтобы имитировать поведение нормальных интеграций: они отображают стандартные экраны конфигурации и предлагают пользователям связать свои аккаунты через формы, не вызывающие подозрений. Основными мишенями для сбора данных стали учетные записи сервисов Google Ads, Stripe и Salesforce.
Технический механизм хищения данных использует архитектурные особенности самой платформы. После установки пакета и ввода данных пользователем токены первоначально сохраняются в хранилище учетных данных n8n в зашифрованном формате. В момент выполнения рабочего процесса активируется вредоносный код, который использует мастер-ключ (master key) n8n для расшифровки сохраненных токенов. После дешифровки скрипт осуществляет эксфильтрацию данных, отправляя их на удаленный сервер, находящийся под контролем атакующих.
Критическим фактором успеха атаки стало отсутствие изоляции для сторонних модулей. Узлы сообщества в n8n не имеют песочницы и обладают тем же уровнем доступа, что и сама платформа. Это позволяет вредоносному коду беспрепятственно считывать переменные среды, получать доступ к файловой системе хоста и совершать произвольные исходящие сетевые запросы, что делает компрометацию системы полной и глубокой.
Всего в ходе анализа было выявлено 8 вредоносных пакетов. Первые три из них были изучены с помощью инструмента Spectra Assure от компании ReversingLabs. Среди обнаруженных имен фигурирует «n8n-nodes-hfgjf-irtuinvcm-lasdqewriit», имитирующий интеграцию с Google Ads, и «n8n-nodes-zl-vietts», помеченный системами безопасности из-за содержания компонентов с историей вредоносной активности. Обновленная версия пакета «n8n-nodes-gg-udhasudsh-hgjkhg-official» появилась в реестре всего за три часа до публикации отчета, что свидетельствует о продолжающемся характере атаки.
Исследователи Киран Радж (Kiran Raj) и Хенрик Плейт (Henrik Plate) отмечают, что данный инцидент знаменует собой эскалацию угроз в сфере цепочек поставок ПО. Наблюдается явный сдвиг тактики злоумышленников: от попыток кражи учетных данных отдельных разработчиков они переходят к атакам на «централизованные хранилища учетных данных», которыми и являются платформы автоматизации рабочих процессов. По словам экспертов Endor Labs, этот метод создает «тихую и высокоэффективную точку входа», поскольку один установленный пакет обеспечивает глубокую видимость инфраструктуры жертвы.
В качестве меры защиты пользователям self-hosted инстансов рекомендуется изменить переменную конфигурации
N8N_COMMUNITY_PACKAGES_ENABLED на значение false. Сама команда n8n выпустила предупреждение о том, что узлы сообщества из npm могут выполнять любые действия на хост-машине. Разработчикам необходимо проводить тщательный аудит пакетов перед установкой, проверять метаданные на наличие аномалий и отдавать приоритет исключительно официальным интеграциям n8n.
