NPM প্যাকেজের মাধ্যমে জার্মান কোম্পানির উপর আক্রমণ

জার্মান কোম্পানি Bertelsmann, Bosch, Stihl এবং DB Schenker এর উপর লক্ষ্যবস্তু আক্রমণের জন্য তৈরি করা দূষিত NPM প্যাকেজের একটি নতুন ব্যাচ প্রকাশ করা হয়েছে। আক্রমণটি নির্ভরতা মিশ্রণ পদ্ধতি ব্যবহার করে, যা জনসাধারণের এবং অভ্যন্তরীণ সংগ্রহস্থলগুলিতে নির্ভরতার নামের ছেদকে ম্যানিপুলেট করে। সর্বজনীনভাবে উপলব্ধ অ্যাপ্লিকেশনগুলিতে, আক্রমণকারীরা কর্পোরেট সংগ্রহস্থল থেকে ডাউনলোড করা অভ্যন্তরীণ এনপিএম প্যাকেজগুলিতে অ্যাক্সেসের চিহ্ন খুঁজে পায় এবং তারপরে পাবলিক এনপিএম সংগ্রহস্থলে একই নাম এবং নতুন সংস্করণ নম্বর সহ প্যাকেজগুলি রাখে। সমাবেশের সময় যদি অভ্যন্তরীণ লাইব্রেরিগুলি স্পষ্টভাবে সেটিংসে তাদের সংগ্রহস্থলের সাথে সংযুক্ত না থাকে, npm প্যাকেজ ম্যানেজার সর্বজনীন সংগ্রহস্থলকে একটি উচ্চ অগ্রাধিকার হিসাবে বিবেচনা করে এবং আক্রমণকারী দ্বারা প্রস্তুত করা প্যাকেজ ডাউনলোড করে।

অভ্যন্তরীণ প্যাকেজগুলিকে ফাঁকি দেওয়ার পূর্বে নথিভুক্ত প্রচেষ্টার বিপরীতে, সাধারণত বড় কোম্পানির পণ্যগুলিতে দুর্বলতা সনাক্ত করার জন্য পুরষ্কার পাওয়ার জন্য নিরাপত্তা গবেষকদের দ্বারা পরিচালিত হয়, সনাক্ত করা প্যাকেজগুলিতে পরীক্ষার বিষয়ে বিজ্ঞপ্তি থাকে না এবং এতে অস্পষ্ট কার্যকারী দূষিত কোড অন্তর্ভুক্ত থাকে যা ডাউনলোড এবং চালায়। ক্ষতিগ্রস্ত এক সিস্টেমের রিমোট কন্ট্রোলের জন্য ব্যাকডোর।

আক্রমণের সাথে জড়িত প্যাকেজগুলির সাধারণ তালিকা রিপোর্ট করা হয়নি; উদাহরণ হিসাবে, শুধুমাত্র প্যাকেজগুলি gxm-reference-web-auth-server, ldtzstxwzpntxqn এবং lznfjbhurpjsqmr উল্লেখ করা হয়েছে, যেগুলি নতুন সংস্করণ সহ NPM সংগ্রহস্থলে boschnodemodules অ্যাকাউন্টের অধীনে পোস্ট করা হয়েছিল মূল অভ্যন্তরীণ প্যাকেজের তুলনায় 0.5.70 এবং 4.0.49. 4 নম্বর। এটা এখনও পরিষ্কার নয় যে আক্রমণকারীরা কীভাবে অভ্যন্তরীণ লাইব্রেরিগুলির নাম এবং সংস্করণগুলি খুঁজে বের করতে সক্ষম হয়েছিল যেগুলি খোলা সংগ্রহস্থলগুলিতে উল্লেখ করা হয়নি৷ অভ্যন্তরীণ তথ্য ফাঁসের ফলে এ তথ্য পাওয়া গেছে বলে ধারণা করা হচ্ছে। নতুন প্যাকেজ প্রকাশের পর্যবেক্ষণকারী গবেষকরা এনপিএম প্রশাসনকে রিপোর্ট করেছেন যে দূষিত প্যাকেজগুলি প্রকাশের XNUMX ঘন্টা পরে চিহ্নিত করা হয়েছিল।

আপডেট: কোড হোয়াইট জানিয়েছে যে আক্রমণটি গ্রাহক পরিকাঠামোতে আক্রমণের সমন্বিত অনুকরণের অংশ হিসাবে তার কর্মচারী দ্বারা পরিচালিত হয়েছিল। পরীক্ষার সময়, বাস্তবায়িত নিরাপত্তা ব্যবস্থার কার্যকারিতা পরীক্ষা করার জন্য বাস্তব আক্রমণকারীদের ক্রিয়াকলাপগুলি সিমুলেট করা হয়েছিল।

উত্স: opennet.ru