El ataque a PHP que nadie vio venir

midudev

Resumen

Este vídeo analiza una serie de ataques a la cadena de suministro que han afectado gravemente al ecosistema de Laravel y PHP, comprometiendo más de 700 paquetes con código malicioso. El autor explica cómo se utilizaron scripts en los archivos package.json para inyectar puertas traseras y reflexiona sobre la necesidad de que gestores de paquetes como npm deshabiliten la ejecución automática de scripts por defecto. Además, se destaca que este problema no es exclusivo de JavaScript, ya que también afecta a ecosistemas como Python y Rust. El vídeo concluye con consejos prácticos para proteger el flujo de trabajo de desarrollo ante estas amenazas constantes.

Capítulos

  1. 0:00Introducción al ataque en el ecosistema PHP
  2. 0:29Revisión de comentarios y estado de Laravel
  3. 0:45Alcance del compromiso de las versiones
  4. 1:59El papel de Composer y los scripts
  5. 2:24Demostración de código infectado
  6. 2:55Propuesta de cambio (RFC) en npm
  7. 3:31Problemas recurrentes en la industria
  8. 4:09Afectaciones en Python y Rust
  9. 5:27Consejos de seguridad del Team PCP
  10. 5:50Uso de herramientas de protección
  11. 6:20Reflexión final sobre la ciberseguridad

Temas tratados

  • Ataques en el ecosistema de Laravel
  • Vulnerabilidad en Composer y paquetes
  • Propuesta de seguridad para npm
  • Ataques en otros ecosistemas: Python y Rust
  • Recomendaciones del Team PCP para seguridad
  • Prevención mediante herramientas externas

Extracto de la transcripción

Y lo que pasa en las mejores familias, tenemos que hablar de los ataques en el ecosistema de PHP. PHP, sí, muchas veces hablamos de JavaScript, mucha gente se queja de JavaScript. De hecho, me hizo mucha mucha gracia el comentario de Damián Catanzaro, no me salía el nombre del chico este. Damián Catanzaro me hizo mucha gracia porque, a ver si os lo encuentro a este este comentario, porque el otro día, por todos los ataques que había en el ecosistema de JavaScript comentaba esto, no estoy para volver a PHP con jQuery y luego dice, "No se está salvando un solo framework, se cancela volver a PHP. Nos quedamos en HTML con GQuery. ¿Y por qué? Porque resulta que hemos tenido un nuevo ataque, la cadena de suministro en la organización del Arabel. Más de 700 versiones históricas entre diferentes paquetes mantenidos por la comunidad del Arabel fueron comprometidos con puertas traseras para ejecuc…