एक विश्लेषक प्रकाशित किया गया है जिसने एनपीएम और पीईपीआई में 200 दुर्भावनापूर्ण पैकेजों की पहचान की है

लिनक्स फाउंडेशन द्वारा गठित ओपनएसएसएफ (ओपन सोर्स सिक्योरिटी फाउंडेशन), जिसका उद्देश्य ओपन सोर्स सॉफ्टवेयर की सुरक्षा में सुधार करना है, ने ओपन प्रोजेक्ट पैकेज विश्लेषण पेश किया, जो पैकेजों में दुर्भावनापूर्ण कोड की उपस्थिति का विश्लेषण करने के लिए एक प्रणाली विकसित करता है। प्रोजेक्ट कोड गो में लिखा गया है और अपाचे 2.0 लाइसेंस के तहत वितरित किया गया है। प्रस्तावित टूल का उपयोग करके एनपीएम और पीईपीआई रिपॉजिटरी के प्रारंभिक स्कैन ने हमें 200 से अधिक पहले से अज्ञात दुर्भावनापूर्ण पैकेजों की पहचान करने की अनुमति दी।

पहचाने गए अधिकांश समस्याग्रस्त पैकेज परियोजनाओं की आंतरिक गैर-सार्वजनिक निर्भरता (निर्भरता भ्रम का हमला) के साथ नामों के प्रतिच्छेदन में हेरफेर करते हैं या टाइपोसक्वाटिंग विधियों (लोकप्रिय पुस्तकालयों के नामों के समान नाम निर्दिष्ट करना) का उपयोग करते हैं, और उन स्क्रिप्ट को भी कॉल करते हैं जो बाहरी होस्ट तक पहुंचते हैं स्थापना प्रक्रिया. पैकेज विश्लेषण के डेवलपर्स के अनुसार, अधिकांश पहचाने गए समस्याग्रस्त पैकेज बग बाउंटी कार्यक्रमों में भाग लेने वाले सुरक्षा शोधकर्ताओं द्वारा बनाए गए थे, क्योंकि भेजा गया डेटा उपयोगकर्ता और सिस्टम नाम तक ही सीमित है, और कार्रवाई स्पष्ट रूप से की जाती है, बिना किसी प्रयास के। उनके व्यवहार को छुपाएं.

दुर्भावनापूर्ण गतिविधि वाले पैकेज में शामिल हैं:

• PyPI पैकेज discordcmd, जो raw.githubusercontent.com, Discord API और ipinfo.io पर असामान्य अनुरोध भेजने को रिकॉर्ड करता है। निर्दिष्ट पैकेज ने GitHub से बैकडोर कोड डाउनलोड किया और इसे डिस्कॉर्ड विंडोज क्लाइंट निर्देशिका में स्थापित किया, जिसके बाद इसने फ़ाइल सिस्टम में डिस्कॉर्ड टोकन की खोज करने और उन्हें हमलावरों द्वारा नियंत्रित बाहरी डिस्कॉर्ड सर्वर पर भेजने की प्रक्रिया शुरू की।
• कलरएसएस एनपीएम पैकेज ने डिस्कॉर्ड खाते से बाहरी सर्वर पर टोकन भेजने का भी प्रयास किया।
• एनपीएम पैकेज @roku-web-core/ajax - इंस्टॉलेशन प्रक्रिया के दौरान इसने सिस्टम के बारे में डेटा भेजा और एक हैंडलर (रिवर्स शेल) लॉन्च किया जो बाहरी कनेक्शन स्वीकार करता था और कमांड लॉन्च करता था।
• PyPI पैकेज secrev three - एक विशिष्ट मॉड्यूल आयात करते समय एक रिवर्स शेल लॉन्च किया गया।
• एनपीएम पैकेज रैंडम-वाउचरकोड-जनरेटर - लाइब्रेरी को आयात करने के बाद, इसने एक बाहरी सर्वर को एक अनुरोध भेजा, जिसने कमांड और वह समय लौटाया जिस पर इसे चलाया जाना चाहिए।

पैकेज विश्लेषण का कार्य नेटवर्क कनेक्शन स्थापित करने, फ़ाइलों तक पहुँचने और कमांड चलाने के लिए स्रोत कोड में कोड पैकेजों का विश्लेषण करना आता है। इसके अतिरिक्त, आरंभिक हानिरहित सॉफ़्टवेयर के रिलीज़ों में से किसी एक में दुर्भावनापूर्ण प्रविष्टियों को जोड़ने का निर्धारण करने के लिए पैकेजों की स्थिति में परिवर्तन की निगरानी की जाती है। रिपॉजिटरी में नए पैकेजों की उपस्थिति की निगरानी करने और पहले पोस्ट किए गए पैकेजों में बदलाव करने के लिए, पैकेज फीड्स टूलकिट का उपयोग किया जाता है, जो एनपीएम, पीईपीआई, गो, रूबीजेम्स, पैकागिस्ट, नुगेट और क्रेट रिपॉजिटरी के साथ काम को एकीकृत करता है।

पैकेज विश्लेषण में तीन बुनियादी घटक शामिल हैं जिनका उपयोग संयोजन और अलग-अलग दोनों में किया जा सकता है:

• पैकेज फ़ीड से डेटा के आधार पर पैकेज विश्लेषण कार्य शुरू करने के लिए शेड्यूलर।
• एक विश्लेषक जो सीधे पैकेज की जांच करता है और स्थैतिक विश्लेषण और गतिशील अनुरेखण तकनीकों का उपयोग करके उसके व्यवहार का मूल्यांकन करता है। परीक्षण एक पृथक वातावरण में किया जाता है।
• एक लोडर जो परीक्षण परिणामों को BigQuery स्टोरेज में रखता है।

स्रोत: opennet.ru