NPM প্যাকেজ UAParser.js, যার প্রতি সপ্তাহে 8 মিলিয়ন ডাউনলোড হয়, ম্যালওয়্যার দ্বারা ইনজেকশন করা হয়।

UAParser.js লাইব্রেরির কোড অনুলিপি করা তিনটি ক্ষতিকারক প্যাকেজের NPM সংগ্রহস্থল থেকে অপসারণের গল্পটি একটি অপ্রত্যাশিত ধারাবাহিকতা পেয়েছে - অজানা আক্রমণকারীরা UAParser.js প্রকল্পের লেখকের অ্যাকাউন্টের নিয়ন্ত্রণ দখল করেছে এবং কোড সম্বলিত আপডেটগুলি প্রকাশ করেছে পাসওয়ার্ড চুরি এবং খনির ক্রিপ্টোকারেন্সি।

সমস্যা হল যে UAParser.js লাইব্রেরি, যা ইউজার-এজেন্ট HTTP হেডার পার্স করার জন্য ফাংশন অফার করে, প্রতি সপ্তাহে প্রায় 8 মিলিয়ন ডাউনলোড হয় এবং 1200 টিরও বেশি প্রকল্পে নির্ভরতা হিসাবে ব্যবহৃত হয়। এটি বলা হয়েছে যে UAParser.js মাইক্রোসফ্ট, অ্যামাজন, ফেসবুক, স্ল্যাক, ডিসকর্ড, মজিলা, অ্যাপল, প্রোটনমেল, অটোডেস্ক, রেডডিট, ভিমিও, উবার, ডেল, আইবিএম, সিমেন্স, ওরাকল, এইচপি এবং ভেরিসনের মতো সংস্থাগুলির প্রকল্পগুলিতে ব্যবহৃত হয়। .

এই আক্রমণটি প্রকল্পের বিকাশকারীর অ্যাকাউন্ট হ্যাকিংয়ের মাধ্যমে করা হয়েছিল, যিনি স্প্যামের একটি অস্বাভাবিক তরঙ্গ তার মেলবক্সে পড়ার পরে বুঝতে পেরেছিলেন যে কিছু ভুল ছিল। ঠিক কীভাবে ডেভেলপারের অ্যাকাউন্ট হ্যাক হয়েছে তা জানানো হয়নি। আক্রমণকারীরা 0.7.29, 0.8.0 এবং 1.0.0 রিলিজ তৈরি করেছে, তাদের মধ্যে দূষিত কোড প্রবর্তন করেছে। কয়েক ঘন্টার মধ্যে, বিকাশকারীরা প্রকল্পের নিয়ন্ত্রণ ফিরে পেয়েছে এবং সমস্যা সমাধানের জন্য 0.7.30, 0.8.1 এবং 1.0.1 আপডেটগুলি তৈরি করেছে৷ ক্ষতিকারক সংস্করণগুলি শুধুমাত্র NPM সংগ্রহস্থলে প্যাকেজ হিসাবে প্রকাশিত হয়েছিল৷ GitHub-এ প্রকল্পের Git সংগ্রহস্থল প্রভাবিত হয়নি। যে সমস্ত ব্যবহারকারীরা সমস্যাযুক্ত সংস্করণ ইনস্টল করেছেন, যদি তারা Linux/macOS-এ jsextension ফাইল এবং Windows-এ jsextension.exe এবং create.dll ফাইলগুলি খুঁজে পান, তাদের সিস্টেমটিকে আপস করা হয়েছে বলে বিবেচনা করার পরামর্শ দেওয়া হচ্ছে৷

যোগ করা দূষিত পরিবর্তনগুলি UAParser.js-এর ক্লোনগুলিতে পূর্বে প্রস্তাবিত পরিবর্তনগুলির স্মরণ করিয়ে দেয়, যা মূল প্রকল্পে একটি বড় আকারের আক্রমণ শুরু করার আগে কার্যকারিতা পরীক্ষা করার জন্য প্রকাশ করা হয়েছিল বলে মনে হয়। jsextension এক্সিকিউটেবল ফাইলটি ডাউনলোড করা হয়েছিল এবং একটি বাহ্যিক হোস্ট থেকে ব্যবহারকারীর সিস্টেমে চালু করা হয়েছিল, যা ব্যবহারকারীর প্ল্যাটফর্মের উপর নির্ভর করে এবং Linux, macOS এবং Windows এ সমর্থিত কাজের উপর নির্ভর করে নির্বাচন করা হয়েছিল। Windows প্ল্যাটফর্মের জন্য, Monero cryptocurrency (XMRig মাইনার ব্যবহার করা হয়েছিল) খননের প্রোগ্রাম ছাড়াও, আক্রমণকারীরা পাসওয়ার্ড আটকাতে এবং একটি বহিরাগত হোস্টে পাঠানোর জন্য create.dll লাইব্রেরির প্রবর্তনের আয়োজন করেছিল।

ডাউনলোড কোডটি preinstall.sh ফাইলে যোগ করা হয়েছিল, যেখানে সন্নিবেশ IP=$(curl -k https://freegeoip.app/xml/ | grep 'RU|UA|BY|KZ') যদি [ -z " $ IP" ] ... ডাউনলোড করুন এবং এক্সিকিউটেবল ফাইল ফাই চালান

কোড থেকে দেখা যায়, স্ক্রিপ্টটি প্রথমে freegeoip.app পরিষেবাতে আইপি ঠিকানা পরীক্ষা করে এবং রাশিয়া, ইউক্রেন, বেলারুশ এবং কাজাখস্তানের ব্যবহারকারীদের জন্য একটি দূষিত অ্যাপ্লিকেশন চালু করেনি।

উত্স: opennet.ru