UAParser.js NPM पैकेज, जिसके प्रति सप्ताह 8 मिलियन डाउनलोड हैं, मैलवेयर से युक्त है।

UAParser.js लाइब्रेरी के कोड को कॉपी करने वाले तीन दुर्भावनापूर्ण पैकेजों के NPM रिपॉजिटरी से हटाने की कहानी को अप्रत्याशित निरंतरता मिली - अज्ञात हमलावरों ने UAParser.js प्रोजेक्ट के लेखक के खाते का नियंत्रण जब्त कर लिया और कोड युक्त अपडेट जारी किए पासवर्ड चुराना और क्रिप्टोकरेंसी खनन करना।

समस्या यह है कि UAParser.js लाइब्रेरी, जो यूजर-एजेंट HTTP हेडर को पार्स करने के लिए फ़ंक्शन प्रदान करती है, प्रति सप्ताह लगभग 8 मिलियन डाउनलोड करती है और 1200 से अधिक परियोजनाओं में निर्भरता के रूप में उपयोग की जाती है। ऐसा कहा जाता है कि UAParser.js का उपयोग Microsoft, Amazon, Facebook, Slack, Discord, Mozilla, Apple, ProtonMail, Autodesk, Reddit, Vimeo, Uber, Dell, IBM, Siemens, Oracle, HP और Verison जैसी कंपनियों की परियोजनाओं में किया जाता है। .

यह हमला एक प्रोजेक्ट डेवलपर के खाते को हैक करके किया गया था, जिसे अपने इनबॉक्स में असामान्य रूप से स्पैम संदेशों की बाढ़ आने के बाद कुछ गड़बड़ का एहसास हुआ। डेवलपर का खाता कैसे हैक हुआ, इसकी सटीक जानकारी नहीं दी गई है। हमलावरों ने 0.7.29, 0.8.0 और 1.0.0 रिलीज़ बनाए और उनमें दुर्भावनापूर्ण कोड डाल दिया। कुछ ही घंटों में, डेवलपर्स ने प्रोजेक्ट पर फिर से नियंत्रण हासिल कर लिया और 0.7.30, 0.8.1 और 1.0.1 अपडेट बनाकर समस्या को ठीक कर दिया। दुर्भावनापूर्ण संस्करण केवल NPM रिपॉजिटरी में पैकेज के रूप में प्रकाशित किए गए थे। GitHub पर प्रोजेक्ट की Git रिपॉजिटरी अप्रभावित रही। समस्या का पता चलने पर, उन सभी उपयोगकर्ताओं को सूचित किया गया जिन्होंने समस्याग्रस्त संस्करण इंस्टॉल किए थे। Linux/macOS jsextension फ़ाइल में, और Windows यदि jsextension.exe और create.dll फ़ाइलें मौजूद हैं, तो सिस्टम को असुरक्षित माना जाना चाहिए।

जोड़े गए दुर्भावनापूर्ण संशोधन UAParser.js क्लोन में पहले प्रस्तावित संशोधनों से मिलते-जुलते थे, जिन्हें मुख्य प्रोजेक्ट पर बड़े पैमाने पर हमले से पहले कार्यक्षमता का परीक्षण करने के लिए जारी किया गया था। एक jsextension एक्जीक्यूटेबल को बाहरी होस्ट से डाउनलोड किया गया और उपयोगकर्ता के सिस्टम पर चलाया गया। jsextension एक्जीक्यूटेबल का चयन उपयोगकर्ता के प्लेटफ़ॉर्म और समर्थित सुविधाओं के आधार पर किया गया था। Linux, macOS и Windowsप्लेटफ़ॉर्म के लिए Windows मोनेरो क्रिप्टोकरेंसी माइनिंग प्रोग्राम (जिसमें XMRig माइनर का इस्तेमाल किया गया था) के अलावा, हमलावरों ने पासवर्ड को इंटरसेप्ट करने और उन्हें एक बाहरी होस्ट पर भेजने के लिए create.dll लाइब्रेरी को भी लागू किया।

डाउनलोड कोड preinstall.sh फ़ाइल में जोड़ा गया था, जिसमें IP=$(curl -k https://freegeoip.app/xml/ | grep 'RU|UA|BY|KZ') if [ -z " डालें $ आईपी" ] ... निष्पादन योग्य फ़ाइल को डाउनलोड करें और चलाएं

जैसा कि कोड से देखा जा सकता है, स्क्रिप्ट ने सबसे पहले freegeoip.app सेवा में आईपी पते की जांच की और रूस, यूक्रेन, बेलारूस और कजाकिस्तान के उपयोगकर्ताओं के लिए दुर्भावनापूर्ण एप्लिकेशन लॉन्च नहीं किया।

स्रोत: opennet.ru