CTWall - ChainThreatWall

Lanzamiento de GitHub

A medida que más equipos se trasladan a entornos de desarrollo virtualizados para reducir el riesgo de la cadena de suministro de software, un desafío persiste: las dependencias maliciosas aún pueden colarse y llegar a producción.

La plataforma CTWall (ChainThreatWall) ayuda a los equipos de Seguridad, DevOps y Producto a tomar decisiones de riesgo más rápido mediante el uso de datos SBOM/BOM para identificar malware en la cadena de suministro de software. Esta herramienta es un suplemento práctico al SCA clásico (Análisis de Composición de Software): añade detección centrada en malware en la capa de la cadena de suministro de software. Al usar fuentes de inteligencia de amenazas gratuitas/públicas (por ahora es solo la base de datos OSV disponible públicamente de https://osv.dev/), los equipos pueden generar notificaciones sobre amenazas de dependencia recién observadas sin tener que construir un pipeline de inteligencia personalizado desde cero.

Los SBOM se pueden importar fácilmente a la plataforma usando DepAlert.

Inicio rápido

Consulte 00_quick_start.md para instrucciones paso a paso.

Propósito de la plataforma

Desde una perspectiva empresarial, la herramienta le ayuda a:

• Obtener visibilidad del riesgo de malware en dependencias en un solo lugar.
• Reaccionar más rápido a las amenazas de malware.
• Mantener historial y evidencia para auditorías.
• Reducir el esfuerzo de clasificación manual.

Desde una perspectiva operativa, la plataforma CTWall ofrece funcionalidad útil para:

• Ingerir SBOM desde canales CI/CD y de proveedores.
• Mantener el historial de revisiones para cada Producto / Ámbito / Prueba.
• Mapear componentes a inteligencia de malware y hallazgos de clasificación.
• Monitorear la postura y tendencias en los paneles del proyecto.
• Enviar alertas operativas a conectores (Jira, SMTP, Slack, SNS, Alertmanager externo).

Qué sucede en tiempo de ejecución

Flujo de la aplicación:

1. Se sube el SBOM (o se envía mediante agente).
2. Se persisten la revisión y los componentes.
3. Los trabajadores en segundo plano realizan análisis de malware.
4. Se actualizan los grupos/ocurrencias de alertas.
5. Los conectores configurados reciben señales FIRING/RESOLVED.
6. La interfaz de usuario presenta paneles, postura, explorador y estado de clasificación.

flowchart LR
    A[Product / Source] --> B[Generate SBOM/BOM]
    B --> C[Import SBOM/BOM file to CTWALL]
    C --> D[Alert]

Problemas de ciberseguridad que resuelve CTWall

1. Falta de monitoreo continuo del riesgo de dependencias (aplicación + infraestructura). CTWall recopila datos SBOM/BOM y los organiza en un modelo: Producto -> Ámbito -> Prueba. En el panorama actual de amenazas, la falta de monitoreo continuo y la respuesta tardía a las amenazas de dependencias pueden llevar al compromiso tanto de aplicaciones como de infraestructura.

2. Detección y reacción tardía a amenazas. La importación y el análisis de SBOM ayudan a detectar riesgos antes de producción o al inicio del ciclo de entrega. En la práctica, CTWall admite la detección temprana de paquetes maliciosos tanto en dependencias de aplicaciones como en dependencias relacionadas con infraestructura.

3. Alertas fragmentadas y ruido en la comunicación. CTWall normaliza las alertas y puede enviarlas a herramientas operativas (por ejemplo, Jira, Slack, SMTP, Alertmanager), en lugar de depender solo de los registros de CI.

4. Auditorías difíciles e historial de decisiones faltante. La plataforma almacena el historial de revisiones y eventos de SBOM, facilitando la auditoría y reconstrucción de qué cambió y cuándo.

5. Demasiada clasificación manual. Los equipos obtienen resultados estructurados y pueden pasar más rápido de la alerta a la decisión.

Algunos ejemplos de ataques que CTWall puede ayudarle a detectar

CTWall ayuda correlacionando los componentes SBOM/BOM con inteligencia de amenazas y avisos de malware, y luego generando alertas operativas.

1. Compromiso de la cadena de suministro de npm de Axios en marzo de 2026 (axios, MAL-2026-2307). Credenciales de mantenedor comprometidas llevaron a versiones maliciosas de axios (1.14.1, 0.30.4) que introdujeron la dependencia troyanizada [email protected]; los avisos públicos describen un RAT/dropper multiplataforma activado mediante postinstall y recomiendan tratar los sistemas expuestos como comprometidos, con rotación inmediata de secretos y credenciales.

2. Campaña de cadena de suministro de npm de septiembre de 2025 (Shai-Hulud + cargas de criptominería). El compromiso de mantenedor mediante phishing, actualizaciones maliciosas de paquetes, robo de credenciales/tokens y persistencia en CI/CD fueron documentados públicamente en avisos del sector.

3. Incidente de phishing en PyPI en julio de 2025 con versiones maliciosas de num2words (0.5.15, 0.5.16). La cuenta de mantenedor comprometida llevó a que se publicaran y luego se eliminaran versiones maliciosas del paquete.

4. Campaña de typosquatting en PyPI en noviembre de 2025 (tableate, MAL-2025-191535). Los registros públicos de OSV describen comportamiento similar a RAT y entrega de cargas de segunda etapa.

5. Caso de malware en PyPI en marzo de 2026 (amigapythonupdater, MAL-2026-1136). Los registros públicos de OSV describen exfiltración de variables de entorno/tokens de nube y comportamiento de ejecución de comandos.

6. Caso de malware en npm en febrero de 2026 (test-npm-style, MAL-2026-771). Los registros públicos vinculados a OSV/GHSA clasifican las versiones afectadas como maliciosas y recomiendan rotación inmediata de secretos.

Seguridad

Consulte

Licencia

CTWall está licenciado bajo la Licencia BSD de 3 cláusulas

¿Quiere ponerse en contacto o tiene preguntas?

Para preguntas, contáctenos en: [email protected]