[논문 리뷰] SpellBound: Defending Against Package Typosquatting

Matthew Taylor, Ruturaj K. Vaidya외 3명|arXiv (Cornell University)|2020. 03. 06.

Advanced Malware Detection Techniques참고 문헌 26인용 수 9

한 줄 요약

SpellBound는 어휘 유사도와 패키지 인기도 분석을 통해 npm 및 PyPI에서 패키지 타이포스쿼팅을 탐지하고 개발자에게 경고하는 경량이며 효율적인 도구를 제안한다. 이 도구는 설치 시 false positive 비율을 0.5%로 줄이고, 평균 2.5%의 성능 오버헤드만을 유발하며, 알려진 및 한 가지 알려지지 않은 고유의 타이포스쿼팅 사례를 성공적으로 식별하여 패키지 삭제를 이끌어냈다.

ABSTRACT

Package managers for software repositories based on a single programming language are very common. Examples include npm (JavaScript), and PyPI (Python). These tools encourage code reuse, making it trivial for developers to import external packages. Unfortunately, repositories' size and the ease with which packages can be published facilitates the practice of typosquatting: the uploading of a package with name similar to that of a highly popular package, typically with the aim of capturing some of the popular package's installs. Typosquatting has serious negative implications, resulting in developers importing malicious packages, or -- as we show -- code clones which do not incorporate recent security updates. In order to tackle this problem, we present SpellBound, a tool for identifying and reporting potentially erroneous imports to developers. SpellBound implements a novel typosquatting detection technique, based on an in-depth analysis of npm and PyPI. Our technique leverages a model of lexical similarity between names, and further incorporates the notion of package popularity. This approach flags cases where unknown/scarcely used packages would be installed in place of popular ones with similar names, before installation occurs. We evaluated SpellBound on both npm and PyPI, with encouraging results: SpellBound flags typosquatting cases while generating limited warnings (0.5% of total package installs), and low overhead (only 2.5% of package install time). Furthermore, SpellBound allowed us to confirm known cases of typosquatting and discover one high-profile, unknown case of typosquatting that resulted in a package takedown by the npm security team.

연구 동기 및 목표

• npm 및 PyPI와 같은 소프트웨어 패키지 리포지터리에서 악성 또는 오래된 패키지를 설치하도록 개발자를 속이기 위해 이름 유사성을 악용하는 타이포스쿼팅의 증가하는 위협에 대응하기 위해.
• 개발자가 패키지 이름을 잘못 입력하는 단순한 실수로 악성 또는 비보안 패키지를 의도치 않게 설치하는 위험을 줄이기 위해.
• 설치 워크플로우에 쉽게 통합될 수 있는 실용적이고 저비용의 솔루션을 제공하여 설치 전에 위험한 이름 혼동을 경고하기 위해.
• 악성 코드를 실행하지는 않지만 업데이트가 되지 않아 보안에 위협이 되는 패키지 클론인 양성이나 악성 타이포스쿼팅 패키지를 탐지하기 위해.

제안 방법

• 도구는 전치, 생략, 문자 대체 등의 일반적인 타이포로 인해 쉽게 혼동되는 패키지 이름을 식별하기 위해 어휘 유사도 모델을 사용한다.
• 낮은 트래픽을 가진 패키지가 높은 인기의 패키지 대신 설치되는 경우를 우선순위로 경고하기 위해 패키지 인기도 지표를 통합한다.
• 의존성 트리를 분석하고 요청된 패키지 이름을 고인기 타겟 목록과 비교하여 잠재적 타이포스쿼팅을 탐지한다.
• npm 및 PyPI의 메타데이터를 활용해, 이름 유사도가 높고 사용 빈도가 낮은 패키지를 타이포스쿼팅 후보로 경고하는 탐지 모델을 구축한다.
• 탐지 로직은 패키지 설치 프로세스에 통합되어 최소한의 성능 영향을 미치면서 설치 시점에 경고를 생성한다.
• 도구는 실제 npm 및 PyPI 데이터를 대상으로 평가되었으며, 패키지 유저 유지자로부터 수동 확인과 함께 npm 보안 팀과의 협력도 진행되었다.

실험 결과

연구 질문

• RQ1 npm 및 PyPI와 같은 인기 있는 패키지 리포지터리에서 타이포스쿼팅 패키지를 효과적으로 탐지할 수 있는 경량의 실시간 탐지 시스템가능한가?
• RQ2 어떻게 어휘 유사도와 패키지 인기도를 조합하여 타이포스쿼팅 탐지에서 false positive를 줄일 수 있는가?
• RQ3 표준 패키지 설치 워크플로우에 이러한 탐지 시스템을 통합할 경우 성능 오버헤드는 얼마나 되는가?
• RQ4 이 도구는 악성 코드를 실행하지 않지만 인기 패키지의 클론이지만 업데이트되지 않은 보안 위험을 가진 타이포스쿼팅 패키지도 탐지할 수 있는가?
• RQ5 이러한 시스템은 실제 세계의 타이포스쿼팅 사고가 피해를 입히기 전에 얼마나 효과적으로 방지할 수 있는가?

주요 결과

• SpellBound는 전체 패키지 설치 중 0.5%의 false 경고로 줄여 실제 타이포스쿼팅 위험을 높은 정밀도로 식별함을 보여주었다.
• 도구는 평균적으로 2.5%의 성능 오버헤드만을 유발하여 기존 패키지 워크플로우에 통합하기에 실용적임을 입증했다.
• 도구는 알려진 타이포스쿼팅 사례를 성공적으로 확인했으며, 예를 들어 lodash와 거의 동일한 이름을 가진 loadsh 패키지와 같은 사례를 포함한다.
• 수동 연락을 통해 loadsh를 사용하는 세 명의 패키지 유지자가 실제로 lodash를 의도한 바를 확인하여 도구의 탐지 정확도를 검증했다.
• 도구는 npm 보안 팀의 조치를 이끌어내는 알려지지 않은 고유의 타이포스쿼팅 사례를 발견하여 실제 영향을 입증했다.
• 이러한 접근법은 악성일 수도 있고, 그렇지 않지만 보안 업데이트가 되지 않아 위험한 패키지인 타이포스쿼팅 패키지도 효과적으로 식별할 수 있었다.