Supply chain zero-day aanvallen nemen toe; nieuwe detectiemethoden signaleren kwaadaardige npm-pakketten direct bij publicatie.
Moderne softwareontwikkeling is sterk afhankelijk van open source pakketten. Ontwikkelaars en AI-coding agents kunnen snel nieuwe afhankelijkheden en versies in projecten integreren, wat de snelheid van bouwen en uitrollen verhoogt. Deze snelheid vormt echter een uitdaging voor beveiligingsteams. Wanneer een vertrouwd pakket wordt gecompromitteerd, kan kwaadaardige code de ontwikkelomgevingen en build pipelines binnendringen voordat traditionele kwetsbaarhedendatabases de dreiging signaleren.
Organisaties kunnen niet handmatig elke update van fundamentele pakketten controleren of blokkeren zonder de ontwikkeling te vertragen. Daarom scannen de meeste organisaties nieuw gedownloade pakketten op bekende kwetsbaarheden en blokkeren ze indien nodig. Zero-day supply chain compromitteringen verschijnen echter niet direct in kwetsbaarhedendatabases. Omdat populaire pakketten al worden vertrouwd, zijn ontwikkelworkflows en build pipelines vaak zo ingesteld dat ze automatisch de nieuwste versies binnenhalen. Als een aanvaller zo’n pakket compromitteert, kan een kwaadaardige update zich snel verspreiden voordat een CVE wordt gepubliceerd, waardoor beveiligingsteams achter de feiten aanlopen.
Onderzoek van het Wiz-team toont aan dat dit type aanval steeds vaker voorkomt. In de tweede helft van 2025 maakten supply chain aanvallen ongeveer 10% uit van significante incidenten. In de eerste helft van 2026 steeg dit naar 25%, wat betekent dat nu één op de vier belangrijke beveiligingsincidenten een supply chain aanval betreft. Tijdens de Axios compromittering werd het npm-account van een Axios-maintainer gehackt, waarna twee kwaadaardige versies van het npm pakket werden gepubliceerd. Deze versies introduceerden een afhankelijkheid van een nieuw kwaadaardig pakket. Hoewel de kwaadaardige versies binnen enkele uren werden verwijderd, bleef het risico bestaan. Axios was destijds aanwezig in circa 80% van cloud- en codeomgevingen en werd wekelijks ongeveer 100 miljoen keer gedownload. De populariteit van het pakket zorgde voor snelle blootstelling, met uitvoering in 3% van de getroffen omgevingen. Dit benadrukt het belang van snelheid bij de verdediging tegen supply chain aanvallen.
Traditioneel ontdekken beveiligingsteams een compromittering van een vertrouwd pakket pas na ontvangst van een dreigingsadvies of update van een kwetsbaarhedendatabase. Idealiter kunnen teams proactief de software supply chain beveiligen door direct te weten welke pakketten die op npm worden gepubliceerd schoon zijn, het installeren van kwaadaardige versies te voorkomen en waarschuwingen te genereren over verdachte versies in alle tools. Daarom ontwikkelde Wiz een speciale detectiepijplijn die nieuwe pakketten en versies direct bij publicatie op npm analyseert. Hiermee kunnen kwaadaardige pakketten worden gemarkeerd en detectieregels worden toegevoegd aan Wiz Defend, code- en cloudpipelines, nog voordat een formele CVE wordt gepubliceerd.
De pijplijn werkt als volgt: bij publicatie van een nieuwe pakketversie worden de huidige en voorgaande versies gedownload en vergeleken. Statische analysetechnieken signaleren verdachte bestanden, waarna een AI-classifier een eerste oordeel geeft. Verdachte versies ondergaan vervolgens dynamische analyse, waarbij het pakket in een sandbox wordt geïnstalleerd om runtime-activiteiten te monitoren, modules worden geïmporteerd en het pakket indien mogelijk via de CLI wordt uitgevoerd. De Wiz Sensor observeert het runtime-gedrag om kwaadaardige activiteiten te detecteren. Deze gegevens bevestigen het oordeel en voorzien de AI-classifier van extra bewijs. Na bevestiging van kwaadaardigheid publiceert de pijplijn automatisch indicatoren van compromittering (IOCs) naar de Wiz reputatieservice, zodat klanten direct worden gewaarschuwd zodra een kwaadaardig pakket hun omgeving binnenkomt.
