CTWall - ChainThreatWall

Rilascio GitHub

Con l'aumento di team che si spostano verso ambienti di sviluppo virtualizzati per ridurre il rischio della supply chain del software, una sfida rimane: dipendenze dannose possono ancora passare inosservate e raggiungere la produzione.

CTWall (ChainThreatWall) aiuta i team di Sicurezza, DevOps e Prodotto a prendere decisioni sul rischio più velocemente utilizzando i dati SBOM/BOM per identificare malware nella supply chain del software. Questo strumento è un supplemento pratico alla classica SCA (Software Composition Analysis): aggiunge il rilevamento focalizzato sul malware nel layer della supply chain del software. Utilizzando fonti di threat intelligence gratuite/pubbliche (per ora è solo il database OSV disponibile pubblicamente da https://osv.dev/), i team possono generare notifiche su minacce di dipendenza appena osservate senza dover costruire da zero una pipeline di intelligence personalizzata.

Gli SBOM possono essere facilmente importati nella piattaforma usando DepAlert.

Avvio rapido

Vedi 00_quick_start.md per istruzioni passo passo.

Scopo della piattaforma

Da una prospettiva aziendale, lo strumento ti aiuta a:

• Ottenere visibilità sul rischio di malware delle dipendenze in un unico posto.
• Reagire più velocemente alle minacce malware.
• Mantenere cronologia e prove per gli audit.
• Ridurre lo sforzo di triage manuale.

Da una prospettiva operativa, la piattaforma CTWall offre funzionalità utili per:

• Importare SBOM da canali CI/CD e vendor.
• Mantenere la cronologia delle revisioni per ogni Prodotto / Scopo / Test.
• Mappare i componenti con l'intelligence sulle minacce e i risultati del triage.
• Monitorare la postura e le tendenze sui cruscotti di progetto.
• Inviare avvisi operativi ai connettori (Jira, SMTP, Slack, SNS, Alertmanager esterno).

Cosa succede in esecuzione

Flusso dell'applicazione:

1. Lo SBOM viene caricato (o inviato dall'agente).
2. La revisione e i componenti vengono persistiti.
3. I worker in background eseguono l'analisi malware.
4. I gruppi/occorrenze di avvisi vengono aggiornati.
5. I connettori configurati ricevono segnali FIRING/RESOLVED.
6. L'interfaccia utente presenta cruscotti, postura, explorer e stato di triage.

flowchart LR
    A[Product / Source] --> B[Generate SBOM/BOM]
    B --> C[Import SBOM/BOM file to CTWALL]
    C --> D[Alert]

Problemi di cybersecurity che CTWall risolve

1. Nessun monitoraggio continuo del rischio delle dipendenze (applicazione + infrastruttura). CTWall raccoglie dati SBOM/BOM e li organizza in un unico modello: Prodotto -> Scopo -> Test. Nel panorama delle minacce odierno, la mancanza di monitoraggio continuo e la risposta ritardata alle minacce delle dipendenze possono portare al compromesso sia delle applicazioni che dell'infrastruttura.

2. Rilevamento e reazione tardivi alle minacce. L'importazione e l'analisi degli SBOM aiutano a rilevare il rischio prima della produzione o all'inizio del ciclo di consegna. In pratica, CTWall supporta il rilevamento precoce di pacchetti malware sia nelle dipendenze delle applicazioni che in quelle relative all'infrastruttura.

3. Avvisi frammentati e rumore di comunicazione. CTWall normalizza gli avvisi e può inviarli a strumenti operativi (ad esempio Jira, Slack, SMTP, Alertmanager), invece di affidarsi solo ai log CI.

4. Audit difficili e cronologia decisionale mancante. La piattaforma memorizza la cronologia delle revisioni degli SBOM e gli eventi, rendendo più facile l'audit e la ricostruzione di cosa è cambiato e quando.

5. Troppo triage manuale. I team ottengono risultati strutturati e possono passare più velocemente dall'avviso alla decisione.

Alcuni esempi di attacchi che CTWall può aiutare a rilevare

CTWall aiuta correlando i componenti SBOM/BOM con l'intelligence sulle minacce e gli advisory malware, generando quindi avvisi operativi.

1. Marzo 2026 compromissione della supply chain npm di Axios (axios, MAL-2026-2307). Credenziali del manutentore compromesse hanno portato a rilasci dannosi di axios (1.14.1, 0.30.4) che hanno introdotto la dipendenza troianizzata [email protected]; gli advisory pubblici descrivono un RAT/dropper cross-platform attivato tramite postinstall e raccomandano di trattare i sistemi esposti come compromessi, con rotazione immediata di segreti e credenziali.

2. Settembre 2025 campagna supply chain npm (Shai-Hulud + payload cryptojacking). Compromissione del manutentore tramite phishing, aggiornamenti dannosi di pacchetti, furto di credenziali/token e persistenza CI/CD sono stati documentati pubblicamente in advisory di settore.

3. Luglio 2025 incidente di phishing su PyPI con release dannose di num2words (0.5.15, 0.5.16). Account manutentore compromesso ha portato alla pubblicazione di versioni dannose del pacchetto, successivamente rimosse.

4. Novembre 2025 campagna di typosquatting su PyPI (tableate, MAL-2025-191535). Record OSV pubblici descrivono comportamento simile a RAT e consegna di payload di secondo stadio.

5. Marzo 2026 caso malware su PyPI (amigapythonupdater, MAL-2026-1136). Record OSV pubblici descrivono esfiltrazione di variabili d'ambiente/token cloud e comportamento di esecuzione comandi.

6. Febbraio 2026 caso malware npm (test-npm-style, MAL-2026-771). Record OSV/GHSA associati classificano le versioni interessate come dannose e raccomandano rotazione immediata dei segreti.

Sicurezza

Vedi

Licenza

CTWall è concesso in licenza sotto la BSD 3-Clause License

Vuoi metterti in contatto o hai domande?

Per domande, contattaci a: [email protected]