પિક્રેલ અને અલ્પાકા ફોર્મ્સ પ્રોજેક્ટના કોડના અવેજીથી 4684 સાઇટ્સનું સમાધાન થયું

સુરક્ષા સંશોધક વિલેમ ડી ગ્રૂટ અહેવાલકે ઇન્ફ્રાસ્ટ્રક્ચરને હેક કરવાના પરિણામે, હુમલાખોરો વેબ એનાલિટિક્સ સિસ્ટમના કોડમાં દૂષિત ઇન્સર્ટ દાખલ કરવામાં સક્ષમ હતા. પિક્રેલ અને ઇન્ટરેક્ટિવ વેબ ફોર્મ્સ જનરેટ કરવા માટે એક ખુલ્લું પ્લેટફોર્મ અલ્પાકા ફોર્મ્સ. જાવાસ્ક્રિપ્ટ કોડના અવેજીથી 4684 સાઇટ્સ તેમના પૃષ્ઠો પર આ સિસ્ટમોનો ઉપયોગ કરીને સમાધાન તરફ દોરી ગઈ (1249 - પિક્રેલ અને 3435 - અલ્પાકા ફોર્મ્સ).

અમલી દૂષિત કોડ સાઇટ્સ પરના તમામ વેબ ફોર્મ ભરવા વિશેની માહિતી એકત્રિત કરી અને અન્ય બાબતોની સાથે, ચુકવણીની માહિતી અને પ્રમાણીકરણ પરિમાણોના ઇનપુટને અટકાવી શકે છે. ઇન્ટરસેપ્ટેડ માહિતી font-assets.com સર્વરને ઇમેજ વિનંતીની આડમાં મોકલવામાં આવી હતી. અલ્પાકા ફોર્મ્સ સ્ક્રિપ્ટ પહોંચાડવા માટે પિક્રેલ ઇન્ફ્રાસ્ટ્રક્ચર અને સીડીએન નેટવર્ક સાથે કેવી રીતે ચેડા કરવામાં આવ્યા હતા તે અંગે હજુ સુધી કોઈ માહિતી નથી. તે માત્ર એટલું જ જાણીતું છે કે અલ્પાકા ફોર્મ્સ પરના હુમલા દરમિયાન, ક્લાઉડ CMS સામગ્રી વિતરણ નેટવર્ક દ્વારા વિતરિત કરવામાં આવેલી સ્ક્રિપ્ટો બદલવામાં આવી હતી. દૂષિત નિવેશ માં ડેટાના ઝાકઝમાળ તરીકે છદ્માવરણ કરવામાં આવ્યું હતું ન્યૂનતમ સંસ્કરણ સ્ક્રિપ્ટ (તમે કોડની ટ્રાન્સક્રિપ્ટ જોઈ શકો છો અહીં).

સોની, ફોર્બ્સ, ટ્રસ્ટિકો, ફોક્સ, ક્લાસેસયુએસએ, 3ડીકાર્ટ, સેક્સો બેંક, ફાઉન્ડર, રોકેટઇન્ટરનેટ, સ્પ્રિટ અને વર્જિન મોબાઇલ સહિત ઘણી મોટી કંપનીઓ સાથે ચેડા કરાયેલા પ્રોજેક્ટના વપરાશકર્તાઓમાં સમાવેશ થાય છે. એ હકીકતને ધ્યાનમાં લેતા કે આ પ્રકારનો આ પહેલો હુમલો નથી (જુઓ. ઘટના StatCounter કાઉન્ટરના અવેજી સાથે), સાઇટ સંચાલકોને તૃતીય-પક્ષ જાવાસ્ક્રિપ્ટ કોડ મૂકતી વખતે ખૂબ કાળજી રાખવાની સલાહ આપવામાં આવે છે, ખાસ કરીને ચુકવણીઓ અને પ્રમાણીકરણ સંબંધિત પૃષ્ઠો પર.

સોર્સ: opennet.ru