RubyGems-এ 724টি দূষিত প্যাকেজ সনাক্ত করা হয়েছে

রিভার্সিং ল্যাবস কোম্পানি প্রকাশিত অ্যাপ্লিকেশন বিশ্লেষণ ফলাফল typequatting RubyGems সংগ্রহস্থলে। সাধারণত, টাইপোসক্যাটিং ব্যবহার করা হয় দূষিত প্যাকেজ বিতরণ করার জন্য ডিজাইন করা হয়েছে যাতে একজন অমনোযোগী বিকাশকারী টাইপো করতে পারে বা অনুসন্ধান করার সময় পার্থক্যটি লক্ষ্য না করে। সমীক্ষায় 700 টিরও বেশি প্যাকেজ চিহ্নিত করা হয়েছে যার নাম জনপ্রিয় প্যাকেজের মতো কিন্তু ছোটখাটো বিবরণে ভিন্ন, যেমন অনুরূপ অক্ষর প্রতিস্থাপন করা বা ড্যাশের পরিবর্তে আন্ডারস্কোর ব্যবহার করা।

400 টিরও বেশি প্যাকেজে দূষিত ক্রিয়াকলাপ সম্পাদনের সন্দেহজনক উপাদান পাওয়া গেছে। বিশেষ করে, ভিতরের ফাইলটি ছিল aaa.png, যেটিতে PE ফরম্যাটে এক্সিকিউটেবল কোড অন্তর্ভুক্ত ছিল। এই প্যাকেজ দুটি অ্যাকাউন্টের সাথে যুক্ত ছিল যার মাধ্যমে রুবিজেমস 16 ফেব্রুয়ারি থেকে 25 ফেব্রুয়ারি, 2020 পর্যন্ত পোস্ট করা হয়েছিল 724 দূষিত প্যাকেজ, যা মোট প্রায় 95 হাজার বার ডাউনলোড করা হয়েছে। গবেষকরা RubyGems প্রশাসনকে অবহিত করেছেন এবং চিহ্নিত দূষিত প্যাকেজগুলি ইতিমধ্যে সংগ্রহস্থল থেকে সরানো হয়েছে।

চিহ্নিত সমস্যাযুক্ত প্যাকেজগুলির মধ্যে, সর্বাধিক জনপ্রিয় ছিল "অ্যাটলাস-ক্লায়েন্ট", যা প্রথম নজরে বৈধ প্যাকেজ থেকে কার্যত আলাদা করা যায় না "atlas_client" নির্দিষ্ট প্যাকেজটি 2100 বার ডাউনলোড করা হয়েছে (সাধারণ প্যাকেজটি 6496 বার ডাউনলোড করা হয়েছে, অর্থাৎ ব্যবহারকারীরা প্রায় 25% ক্ষেত্রে ভুল ছিল)। অবশিষ্ট প্যাকেজগুলি গড়ে 100-150 বার ডাউনলোড করা হয়েছিল এবং আন্ডারস্কোর এবং ড্যাশগুলি প্রতিস্থাপনের অনুরূপ কৌশল ব্যবহার করে অন্যান্য প্যাকেজ হিসাবে ছদ্মবেশিত হয়েছিল (উদাহরণস্বরূপ, এর মধ্যে দূষিত প্যাকেজ: appium-lib, action-mailer_cache_delivery, activemodel_validators, asciidoctor_bibliography, assets-pipeline, apress_validators, ar_octopus-replication-tracking, aliyun-open_search, aliyun-mns, ab_split, apns-polite)।

দূষিত প্যাকেজগুলিতে একটি PNG ফাইল অন্তর্ভুক্ত ছিল যাতে একটি চিত্রের পরিবর্তে উইন্ডোজ প্ল্যাটফর্মের জন্য একটি এক্সিকিউটেবল ফাইল রয়েছে। ফাইলটি Ocra Ruby2Exe ইউটিলিটি ব্যবহার করে তৈরি করা হয়েছিল এবং এতে একটি রুবি স্ক্রিপ্ট এবং রুবি দোভাষীর সাথে একটি স্ব-নির্মিত সংরক্ষণাগার অন্তর্ভুক্ত ছিল। প্যাকেজ ইনস্টল করার সময়, png ফাইলটির নাম পরিবর্তন করে exe করা হয়েছিল এবং চালু করা হয়েছিল। কার্যকর করার সময়, একটি VBScript ফাইল তৈরি করা হয়েছিল এবং অটোরানে যোগ করা হয়েছিল। একটি লুপে নির্দিষ্ট দূষিত VBScript ক্রিপ্টো ওয়ালেট ঠিকানাগুলির স্মরণ করিয়ে দেয় এমন তথ্যের উপস্থিতির জন্য ক্লিপবোর্ডের বিষয়বস্তু বিশ্লেষণ করে এবং শনাক্ত করা হলে, ব্যবহারকারী পার্থক্য লক্ষ্য না করে এবং ভুল ওয়ালেটে তহবিল স্থানান্তর করবে এই প্রত্যাশায় ওয়ালেট নম্বরটি প্রতিস্থাপন করে। .

গবেষণায় দেখা গেছে যে সবচেয়ে জনপ্রিয় সংগ্রহস্থলগুলির মধ্যে একটিতে দূষিত প্যাকেজ যুক্ত করা কঠিন নয় এবং উল্লেখযোগ্য সংখ্যক ডাউনলোড হওয়া সত্ত্বেও এই প্যাকেজগুলি সনাক্ত করা যায় না। এটা উল্লেখ করা উচিত যে সমস্যা না নির্দিষ্ট থেকে RubyGems এবং অন্যান্য জনপ্রিয় সংগ্রহস্থল কভার করে। যেমন গত বছর একই গবেষক ড প্রকাশিত NPM সংগ্রহস্থলে bb-builder নামে একটি ক্ষতিকারক প্যাকেজ রয়েছে, যা পাসওয়ার্ড চুরি করার জন্য একটি এক্সিকিউটেবল ফাইল চালু করার অনুরূপ কৌশল ব্যবহার করে। এর আগে একটা ব্যাকডোর ছিল পাওয়া গেছে ইভেন্ট-স্ট্রিম NPM প্যাকেজের উপর নির্ভর করে, দূষিত কোডটি প্রায় 8 মিলিয়ন বার ডাউনলোড করা হয়েছে। দূষিত প্যাকেজ এছাড়াও পর্যায়ক্রমে পপ আপ PyPI সংগ্রহস্থলে।

উত্স: opennet.ru