Zainfekowany font na stronie. Jak darmowe zasoby zagrażają firmie?

Właściciele małych firm często szukają oszczędności, pobierając z sieci darmowe zasoby do swoich projektów internetowych. Szablony, ikony czy kroje pism wydają się całkowicie bezpiecznym elementem, który można bezrefleksyjnie wdrożyć na stronę. Okazuje się jednak, że cyberprzestępcy potrafią wykorzystać powszechne elementy graficzne do ukrycia złośliwego oprogramowania i przeprowadzenia nieautoryzowanego ataku na infrastrukturę właściciela projektu.

Przedsiębiorcy rzadko zdają sobie sprawę, że pliki tekstowe czy graficzne mogą kryć w sobie skrypty uruchamiające się automatycznie. Bezpieczeństwo firmowej strony WWW oraz komputerów używanych do jej obsługi to kwestia, o której nie wolno zapominać, niezależnie od skali prowadzonej działalności na Śląsku czy w innych regionach kraju. Pozornie błahe zaniedbanie w doborze zasobów może doprowadzić do poważnych problemów.

Jednym z najcenniejszych źródeł wiedzy o współczesnych zagrożeniach są doświadczenia samych twórców oprogramowania, którzy publicznie opisują incydenty uderzające w ich bezpieczeństwo. Historia opisana na platformie DEV Community przez programistę Kaushala Vermę rzuca światło na to, jak zaawansowane metody mogą wykorzystywać hakerzy podszywający się pod zwykłe pliki internetowe.

Anatomia ataku: gdy plik fontu okazuje się zagrożeniem

Kaushal Verma, deweloper na co dzień zajmujący się tworzeniem oprogramowania, zawsze uważał, że poważne incydenty bezpieczeństwa dotyczą wyłącznie gigantów technologicznych. Jego przekonanie legło w gruzach, gdy zauważył w swoim projekcie frontendowym niezatwierdzone commity na platformie GitHub. Badając sprawę, przeanalizował standardowe zasoby webowe wchodzące w skład witryny, takie jak pliki fontów o nazwach latin-200.woff, latin-300.woff oraz latin-500.woff.

Szybko wyszło na jaw, że plik oznaczony jako latin-500.woff wcale nie był czcionką internetową. Atakujący ukrył za nim złośliwy wektor, który posłużył do przeprowadzenia automatycznego ataku na komputer programisty. W projekcie wykorzystano dokładnie trzy ukryte pliki konfiguracyjne, które miały ułatwić przejęcie kontroli nad środowiskiem roboczym.

Pierwszym z nich był plik .gitignore, zmodyfikowany celowo w taki sposób, aby ukryć wszelkie zmiany w plikach przed systemem kontroli wersji Git. Drugim elementem był folder .vscode, przetrzymujący ukryte skrypty konfiguracyjne. Całość dopełniał plik package.json, który zawierał tajną komendę wykonawczą inicjującą całą procedurę ataku w tle.

Automatyczne uruchomienie skryptu przez edytor kodu

Najbardziej niebezpiecznym aspektem opisanego incydentu był mechanizm aktywacji złośliwego kodu. Wystarczyło, że deweloper otworzył folder z projektem w popularnym edytorze VS Code. Środowisko programistyczne automatycznie uruchomiło zadanie w tle zdefiniowane w pliku package.json, wykonując cicho na komputerom ofiary złośliwy plik wsadowy. Powiązany temat opisaliśmy w artykule „Wpisałeś klucze do .env i poszło na GitHub? Co robić?”.

Mechanizm ten bazował na podatnościach związanych z automatycznym wykonywaniem zadań po otwarciu folderu (parametr "runOn": "folderOpen"). Atakujący przygotowali również podejrzane ciągi znaków w sekcji skryptów pliku package.json, wykorzystując między innymi zakodowane instrukcje wywoływane za pomocą funkcji eval i atob, co skutecznie maskowało faktyczne działanie uruchamianego kodu. Więcej o tym, jak to wpływa na pozycjonowanie i widoczność w Google, znajdziesz w opisie usługi.

Drastyczne kroki po wykryciu incydentu

Skala zagrożenia i fakt, że złośliwy skrypt uruchomił się automatycznie bez wiedzy użytkownika, zmusiły programistę do podjęcia natychmiastowych, radykalnych kroków zaradczych. Nie mając pewności, jakie dokładnie dane zostały skradzione z jego stacji roboczej, musiał zabezpieczyć całe swoje cyfrowe środowisko pracy od zera.

Wśród niezbędnych działań znalazły się:

• całkowite wyczyszczenie i sformatowanie całego komputera od zera,
• zresetowanie wszystkich haseł oraz kluczy dostępowych do baz danych,
• natychmiastowe unieważnienie wszystkich tokenów dostępowych serwisu GitHub oraz kluczy SSH.

Taka reakcja pokazuje, jak wysokie są koszty zignorowania podstawowych zasad bezpieczeństwa przy korzystaniu z nieznanych lub niezweryfikowanych materiałów pobranych z internetu.

Jak zabezpieczyć się przed ukrytym zagrożeniem?

Przedsiębiorcy oraz osoby zarządzające projektami cyfrowymi powinni zachować szczególną ostrożność podczas wdrażania zewnętrznych komponentów. Dobrą praktyką jest dokładne inspekcjonowanie pobieranych bibliotek, motywów, wtyczek oraz plików graficznych czy czcionek pod kątem obecności podejrzanych skryptów konfiguracyjnych.

Należy regularnie weryfikować zawartość folderów konfiguracyjnych edytorów kodu (takich jak .vscode/tasks.json), aby upewnić się, że żadne nieznane zadania nie uruchamiają się automatycznie w tle. Równie istotne jest dokładne przeglądanie pliku package.json oraz innych menedżerów pakietów w poszukiwaniu nietypowych ciągów znaków czy nieznanych skryptów instalacyjnych (np. poleceń postinstall).

Co to oznacza dla małej firmy?

Dla właściciela małego biznesu, który zleca stworzenie witryny lub zarządza nią samodzielnie, historia fałszywego fontu to ważna lekcja pokory. Często małe firmy poszukują oszczędności, instalując darmowe szablony, wtyczki czy dodatki znalezione w otchłani internetu, nie wiedząc, kto tak naprawdę stoi za ich dystrybucją. Jeśli potrzebujesz pewnych i bezpiecznych rozwiązań dla swojego biznesu, sprawdź profesjonalne strony internetowe budowane z zachowaniem najwyższych standardów bezpieczeństwa i czystego kodu. Przejęcie dostępu do komputera firmowego przez zainfekowany zasób może skutkować utratą danych klientów, wyciekiem haseł do systemów płatności czy zablokowaniem domeny. Warto dbać o to, by cała infrastruktura cyfrowa – od zaplecza technicznego po regularny hosting i domena – była zarządzana przez specjalistów, którzy potrafią w porę wyłapać podejrzane pliki i zabezpieczyć projekt przed atakiem.

Podsumowanie

Zagrożenia w cyberprzestrzeni rzadko przypominają filmy Hakerskie z lat dziewięćdziesiątych – częściej przyjmują postać niewinnie wyglądającego pliku fontu, który uruchamia się w tle po otwarciu folderu. Świadomość ryzyka oraz ostrożność przy korzystaniu z darmowych zasobów internetowych to najlepsza ochrona przed kosztownymi awariami i utratą danych w firmie.