RubyGems માં 724 દૂષિત પેકેજો મળ્યા

રિવર્સિંગ લેબ્સ કંપની પ્રકાશિત એપ્લિકેશન વિશ્લેષણ પરિણામો ટાઇપક્વેટિંગ રૂબીજેમ્સ રીપોઝીટરીમાં. સામાન્ય રીતે, ટાઈપોસ્ક્વેટિંગનો ઉપયોગ દૂષિત પેકેજોને વિતરિત કરવા માટે કરવામાં આવે છે જે બેદરકાર ડેવલપરને ટાઈપો કરવા અથવા શોધ કરતી વખતે તફાવતને ધ્યાનમાં ન લેવાનું કારણ બને છે. આ અભ્યાસમાં લોકપ્રિય પેકેજો જેવા જ નામો ધરાવતા 700 થી વધુ પેકેજોની ઓળખ કરવામાં આવી છે પરંતુ નાની વિગતોમાં ભિન્નતા છે, જેમ કે સમાન અક્ષરોને બદલવા અથવા ડેશને બદલે અંડરસ્કોરનો ઉપયોગ કરવો.

400 થી વધુ પેકેજોમાં દૂષિત પ્રવૃત્તિઓ કરવાના શંકાસ્પદ ઘટકો મળી આવ્યા હતા. ખાસ કરીને, અંદરની ફાઇલ aaa.png હતી, જેમાં PE ફોર્મેટમાં એક્ઝિક્યુટેબલ કોડનો સમાવેશ થતો હતો. આ પેકેજો બે એકાઉન્ટ સાથે સંકળાયેલા હતા જેના દ્વારા રૂબીજેમ્સ 16 ફેબ્રુઆરીથી 25 ફેબ્રુઆરી, 2020 દરમિયાન પોસ્ટ કરવામાં આવી હતી. 724 દૂષિત પેકેજો, જે કુલ મળીને લગભગ 95 હજાર વખત ડાઉનલોડ કરવામાં આવી હતી. સંશોધકોએ RubyGems વહીવટીતંત્રને જાણ કરી અને ઓળખાયેલ દૂષિત પેકેજો પહેલાથી જ ભંડારમાંથી દૂર કરવામાં આવ્યા છે.

ઓળખવામાં આવેલા સમસ્યારૂપ પેકેજોમાંથી, સૌથી વધુ લોકપ્રિય "એટલાસ-ક્લાયન્ટ" હતું, જે પ્રથમ નજરમાં કાયદેસર પેકેજથી વ્યવહારીક રીતે અસ્પષ્ટ છે.atlas_client" ઉલ્લેખિત પેકેજ 2100 વખત ડાઉનલોડ કરવામાં આવ્યું હતું (સામાન્ય પેકેજ 6496 વખત ડાઉનલોડ થયું હતું, એટલે કે લગભગ 25% કિસ્સાઓમાં વપરાશકર્તાઓ ખોટા હતા). બાકીના પેકેજો સરેરાશ 100-150 વખત ડાઉનલોડ કરવામાં આવ્યા હતા અને અંડરસ્કોર્સ અને ડેશને બદલવાની સમાન તકનીકનો ઉપયોગ કરીને અન્ય પેકેજો તરીકે છદ્માવરણ કરવામાં આવ્યા હતા (ઉદાહરણ તરીકે, વચ્ચે દૂષિત પેકેજો: appium-lib, action-mailer_cache_delivery, activemodel_validators, asciidoctor_bibliography, assets-pipeline, apress_validators, ar_octopus-replication-tracking, aliyun-open_search, aliyun-mns, ab_split, apns-polite).

દૂષિત પેકેજોમાં PNG ફાઇલ શામેલ છે જેમાં ઇમેજને બદલે Windows પ્લેટફોર્મ માટે એક્ઝિક્યુટેબલ ફાઇલ શામેલ છે. ફાઇલ Ocra Ruby2Exe ઉપયોગિતાનો ઉપયોગ કરીને જનરેટ કરવામાં આવી હતી અને તેમાં રૂબી સ્ક્રિપ્ટ અને રૂબી દુભાષિયા સાથે સ્વ-એક્સટ્રેક્ટિંગ આર્કાઇવનો સમાવેશ થાય છે. પેકેજ ઇન્સ્ટોલ કરતી વખતે, png ફાઇલનું નામ બદલીને exe કરવામાં આવ્યું હતું અને લોન્ચ કરવામાં આવ્યું હતું. એક્ઝેક્યુશન દરમિયાન, VBScript ફાઇલ બનાવવામાં આવી હતી અને ઑટોરનમાં ઉમેરવામાં આવી હતી. લૂપમાં ઉલ્લેખિત દૂષિત VBScript એ ક્રિપ્ટો વૉલેટ સરનામાંની યાદ અપાવે તેવી માહિતીની હાજરી માટે ક્લિપબોર્ડની સામગ્રીઓનું વિશ્લેષણ કર્યું, અને જો શોધી કાઢવામાં આવ્યું, તો વૉલેટ નંબરને એવી અપેક્ષા સાથે બદલ્યો કે વપરાશકર્તા તફાવતો ધ્યાનમાં લેશે નહીં અને ખોટા વૉલેટમાં ભંડોળ ટ્રાન્સફર કરશે. .

અભ્યાસ દર્શાવે છે કે સૌથી વધુ લોકપ્રિય ભંડારોમાંના એકમાં દૂષિત પેકેજોનો ઉમેરો હાંસલ કરવો મુશ્કેલ નથી, અને આ પેકેજો નોંધપાત્ર સંખ્યામાં ડાઉનલોડ્સ હોવા છતાં પણ શોધી શકાતા નથી. એ નોંધવું જોઇએ કે સમસ્યા નથી ચોક્કસ માટે RubyGems અને અન્ય લોકપ્રિય ભંડારોને આવરી લે છે. ઉદાહરણ તરીકે, ગયા વર્ષે સમાન સંશોધકો જાહેર કર્યું NPM રીપોઝીટરીમાં bb-builder નામનું એક દૂષિત પેકેજ છે, જે પાસવર્ડ ચોરી કરવા માટે એક્ઝિક્યુટેબલ ફાઇલ લોન્ચ કરવાની સમાન તકનીકનો ઉપયોગ કરે છે. આ પહેલા પાછલા દરવાજા હતા મળી ઇવેન્ટ-સ્ટ્રીમ NPM પેકેજના આધારે, દૂષિત કોડ લગભગ 8 મિલિયન વખત ડાઉનલોડ કરવામાં આવ્યો હતો. દૂષિત પેકેજો પણ સમયાંતરે પ્રગટ થવું PyPI રીપોઝીટરીમાં.

સોર્સ: opennet.ru