CTWall - ChainThreatWall

GitHub Release

Da immer mehr Teams auf virtualisierte Entwicklungsumgebungen umsteigen, um das Risiko in der Software-Lieferkette zu reduzieren, bleibt eine Herausforderung bestehen: bösartige Abhängigkeiten können dennoch durchschlüpfen und in die Produktion gelangen.

Die CTWall (ChainThreatWall) -Plattform hilft Sicherheits-, DevOps- und Produktteams, schneller Risikoentscheidungen zu treffen, indem sie SBOM-/BOM-Daten nutzt, um Malware in der Software-Lieferkette zu identifizieren. Dieses Tool ist eine praktische Ergänzung zur klassischen SCA (Software Composition Analysis): Es fügt eine malware-fokussierte Erkennung in der Software-Lieferkettenebene hinzu. Durch die Nutzung kostenloser/öffentlicher Bedrohungsinformationsquellen (derzeit nur die öffentlich verfügbare OSV-Datenbank von https://osv.dev/) können Teams Benachrichtigungen über neu beobachtete Bedrohungen durch Abhängigkeiten generieren, ohne eine eigene Intel-Pipeline von Grund auf aufbauen zu müssen.

SBOMs können mithilfe von DepAlert einfach in die Plattform importiert werden.

Schnellstart

Eine Schritt-für-Schritt-Anleitung finden Sie unter 00_quick_start.md.

Zweck der Plattform

Aus geschäftlicher Sicht hilft Ihnen das Tool:

• Die Sichtbarkeit des Malware-Risikos von Abhängigkeiten an einem Ort zu erhalten.
• Schneller auf Malware-Bedrohungen zu reagieren.
• Verlauf und Nachweise für Audits zu bewahren.
• Den manuellen Triage-Aufwand zu reduzieren.

Aus operativer Sicht bietet die CTWall-Plattform nützliche Funktionen:

• SBOMs aus CI/CD- und Lieferantenkanälen zu importieren.
• Revisionsverlauf für jedes Produkt / jeden Umfang / Test zu führen.
• Komponenten mit Malware-Intelligence abzugleichen und Ergebnisse zu triagieren.
• Status und Trends auf Projektdashboards zu überwachen.
• Betriebliche Warnungen an Konnektoren (Jira, SMTP, Slack, SNS, externen Alertmanager) zu senden.

Was zur Laufzeit passiert

Anwendungsablauf:

1. SBOM wird hochgeladen (oder vom Agenten gesendet).
2. Revision und Komponenten werden persistiert.
3. Hintergrundarbeiter führen die Malware-Analyse durch.
4. Alert-Gruppen/Vorkommen werden aktualisiert.
5. Konfigurierte Konnektoren empfangen FIRING/RESOLVED-Signale.
6. Die Benutzeroberfläche zeigt Dashboards, Status, Explorer und Triage-Zustand an.

flowchart LR
    A[Product / Source] --> B[Generate SBOM/BOM]
    B --> C[Import SBOM/BOM file to CTWALL]
    C --> D[Alert]

Cybersicherheitsprobleme, die CTWall löst

1. Keine kontinuierliche Überwachung des Abhängigkeitsrisikos (Anwendung + Infrastruktur). CTWall sammelt SBOM-/BOM-Daten und organisiert sie in einem Modell: Produkt -> Umfang -> Test. In der heutigen Bedrohungslandschaft können fehlende kontinuierliche Überwachung und verzögerte Reaktion auf Bedrohungen durch Abhängigkeiten zu Kompromittierungen sowohl von Anwendungen als auch von Infrastruktur führen.

2. Späte Erkennung und Reaktion auf Bedrohungen. SBOM-Import und -Analyse helfen, Risiken vor der Produktion oder früh im Auslieferungszyklus zu erkennen. In der Praxis unterstützt CTWall die frühzeitige Erkennung von Malware-Paketen sowohl bei Anwendungsabhängigkeiten als auch bei infrastrukturbezogenen Abhängigkeiten.

3. Fragmentierte Warnungen und Kommunikationsrauschen. CTWall normalisiert Warnungen und kann sie an operative Tools senden (z. B. Jira, Slack, SMTP, Alertmanager), anstatt sich nur auf CI-Protokolle zu verlassen.

4. Schwierige Audits und fehlende Entscheidungshistorie. Die Plattform speichert den SBOM-Revisionsverlauf und Ereignisse, was Audits und die Rekonstruktion von Änderungen und deren Zeitpunkt erleichtert.

5. Zu viel manuelles Triage. Teams erhalten strukturierte Ergebnisse und können schneller von der Warnung zur Entscheidung gelangen.

Einige Angriffsbeispiele, die CTWall erkennen kann

CTWall hilft, indem es SBOM-/BOM-Komponenten mit Bedrohungsinformationen und Malware-Advisories korreliert und operative Warnungen generiert.

1. März 2026: npm-Lieferkettenkompromittierung von Axios (axios, MAL-2026-2307). Kompromittierte Maintainer-Anmeldedaten führten zu bösartigen Axios-Veröffentlichungen (1.14.1, 0.30.4), die die trojanisierte Abhängigkeit [email protected] einführten; öffentliche Advisories beschreiben einen postinstall-ausgelösten, plattformübergreifenden RAT/Dropper und empfehlen, exponierte Systeme als kompromittiert zu betrachten und sofortige Geheimnis- und Anmeldedatenrotation durchzuführen.

2. September 2025: npm-Lieferkettenkampagne (Shai-Hulud + Cryptojacking-Payloads). Phishing-bedingte Kompromittierung von Maintainern, bösartige Paketupdates, Diebstahl von Anmeldedaten/Token und CI/CD-Persistenz wurden in sektoralen Advisories öffentlich dokumentiert.

3. Juli 2025: PyPI-Phishing-Vorfall mit bösartigen num2words-Versionen (0.5.15, 0.5.16). Kompromittiertes Maintainer-Konto führte zur Veröffentlichung bösartiger Paketversionen, die später entfernt wurden.

4. November 2025: PyPI-Typosquatting-Kampagne (tableate, MAL-2025-191535). Öffentliche OSV-Einträge beschreiben RAT-ähnliches Verhalten und die Auslieferung von Zweitstufen-Payloads.

5. März 2026: PyPI-Malware-Fall (amigapythonupdater, MAL-2026-1136). Öffentliche OSV-Einträge beschreiben die Exfiltration von Umgebungsvariablen/Cloud-Tokens und die Ausführung von Befehlen.

6. Februar 2026: npm-Malware-Fall (test-npm-style, MAL-2026-771). Öffentliche OSV/GHSA-verknüpfte Einträge klassifizieren betroffene Versionen als bösartig und empfehlen sofortige Token-Rotation.

Sicherheit

Bitte beachten Sie

Lizenz

CTWall wird unter der BSD 3-Clause-Lizenz lizenziert

Möchten Sie Kontakt aufnehmen oder haben Sie Fragen?

Bei Fragen kontaktieren Sie uns unter: [email protected]