একটি বিশ্লেষক প্রকাশিত হয়েছে যা NPM এবং PyPI-তে 200টি দূষিত প্যাকেজ চিহ্নিত করেছে

ওপেনএসএসএফ (ওপেন সোর্স সিকিউরিটি ফাউন্ডেশন), লিনাক্স ফাউন্ডেশন দ্বারা গঠিত এবং ওপেন সোর্স সফ্টওয়্যারের নিরাপত্তার উন্নতির লক্ষ্যে ওপেন প্রজেক্ট প্যাকেজ অ্যানালাইসিস চালু করেছে, যা প্যাকেজে ক্ষতিকারক কোডের উপস্থিতি বিশ্লেষণ করার জন্য একটি সিস্টেম তৈরি করে। প্রজেক্ট কোডটি Go-তে লেখা এবং Apache 2.0 লাইসেন্সের অধীনে বিতরণ করা হয়েছে। প্রস্তাবিত সরঞ্জামগুলি ব্যবহার করে NPM এবং PyPI সংগ্রহস্থলগুলির একটি প্রাথমিক স্ক্যান আমাদের 200 টিরও বেশি পূর্বে সনাক্ত না হওয়া দূষিত প্যাকেজগুলি সনাক্ত করতে দেয়৷

চিহ্নিত সমস্যাযুক্ত প্যাকেজগুলির বেশিরভাগই প্রকল্পগুলির অভ্যন্তরীণ অ-পাবলিক নির্ভরতা (নির্ভরতা বিভ্রান্তি আক্রমণ) সহ নামের ছেদকে ম্যানিপুলেট করে বা টাইপোসক্যাটিং পদ্ধতি ব্যবহার করে (জনপ্রিয় লাইব্রেরির নামের অনুরূপ নাম বরাদ্দ করা), এবং এছাড়াও স্ক্রিপ্টগুলিকে কল করে যা বহিরাগত হোস্টগুলিতে অ্যাক্সেস করে ইনস্টলেশন প্রক্রিয়া। প্যাকেজ বিশ্লেষণের বিকাশকারীদের মতে, চিহ্নিত সমস্যাযুক্ত প্যাকেজগুলির বেশিরভাগই সম্ভবত বাগ বাউন্টি প্রোগ্রামে অংশগ্রহণকারী নিরাপত্তা গবেষকদের দ্বারা তৈরি করা হয়েছিল, যেহেতু পাঠানো ডেটা ব্যবহারকারী এবং সিস্টেমের নামের মধ্যে সীমাবদ্ধ, এবং ক্রিয়াগুলি স্পষ্টভাবে সম্পাদিত হয়, চেষ্টা ছাড়াই তাদের আচরণ লুকান।

দূষিত কার্যকলাপ সহ প্যাকেজ অন্তর্ভুক্ত:

• PyPI প্যাকেজ discordcmd, যা raw.githubusercontent.com, Discord API এবং ipinfo.io-তে অ্যাটিপিকাল অনুরোধ পাঠানো রেকর্ড করে। নির্দিষ্ট প্যাকেজটি গিটহাব থেকে ব্যাকডোর কোড ডাউনলোড করে এবং এটি ডিসকর্ড উইন্ডোজ ক্লায়েন্ট ডিরেক্টরিতে ইনস্টল করে, এর পরে এটি ফাইল সিস্টেমে ডিসকর্ড টোকেনগুলি অনুসন্ধান করার এবং আক্রমণকারীদের দ্বারা নিয়ন্ত্রিত একটি বহিরাগত ডিসকর্ড সার্ভারে পাঠানোর প্রক্রিয়া শুরু করে।
• Colorsss NPM প্যাকেজটি একটি ডিসকর্ড অ্যাকাউন্ট থেকে একটি বহিরাগত সার্ভারে টোকেন পাঠানোর চেষ্টা করেছে।
• NPM প্যাকেজ @roku-web-core/ajax - ইনস্টলেশন প্রক্রিয়া চলাকালীন এটি সিস্টেম সম্পর্কে ডেটা পাঠায় এবং একটি হ্যান্ডলার (রিভার্স শেল) চালু করে যা বহিরাগত সংযোগ গ্রহণ করে এবং কমান্ড চালু করে।
• PyPI প্যাকেজ secrevthree - একটি নির্দিষ্ট মডিউল আমদানি করার সময় একটি বিপরীত শেল চালু করে।
• এনপিএম প্যাকেজ এলোমেলো-ভাউচারকোড-জেনারেটর - লাইব্রেরি আমদানি করার পরে, এটি একটি বহিরাগত সার্ভারে একটি অনুরোধ পাঠায়, যা কমান্ড এবং এটি চালানোর সময় ফেরত দেয়।

প্যাকেজ বিশ্লেষণের কাজটি নেটওয়ার্ক সংযোগ স্থাপন, ফাইল অ্যাক্সেস করা এবং কমান্ড চালানোর জন্য সোর্স কোডে কোড প্যাকেজ বিশ্লেষণ করার জন্য নেমে আসে। উপরন্তু, প্রাথমিকভাবে ক্ষতিকারক সফ্টওয়্যারের রিলিজের একটিতে দূষিত সন্নিবেশের সংযোজন নির্ধারণ করতে প্যাকেজের অবস্থার পরিবর্তনগুলি পর্যবেক্ষণ করা হয়। সংগ্রহস্থলগুলিতে নতুন প্যাকেজের উপস্থিতি নিরীক্ষণ করতে এবং পূর্বে পোস্ট করা প্যাকেজগুলিতে পরিবর্তন করতে, প্যাকেজ ফিড টুলকিট ব্যবহার করা হয়, যা NPM, PyPI, Go, RubyGems, Packagist, NuGet এবং Crate সংগ্রহস্থলগুলির সাথে কাজকে একীভূত করে।

প্যাকেজ বিশ্লেষণে তিনটি মৌলিক উপাদান রয়েছে যা একত্রে এবং পৃথকভাবে উভয়ই ব্যবহার করা যেতে পারে:

• প্যাকেজ ফিড থেকে ডেটার উপর ভিত্তি করে প্যাকেজ বিশ্লেষণের কাজ শুরু করার জন্য সময়সূচী।
• একটি বিশ্লেষক যা সরাসরি একটি প্যাকেজ পরীক্ষা করে এবং স্ট্যাটিক বিশ্লেষণ এবং গতিশীল ট্রেসিং কৌশল ব্যবহার করে তার আচরণের মূল্যায়ন করে। পরীক্ষাটি বিচ্ছিন্ন পরিবেশে করা হয়।
• একটি লোডার যা পরীক্ষার ফলাফলগুলি BigQuery স্টোরেজে রাখে।

উত্স: opennet.ru