🥇NPM पैकेज UAParser.js, जिसके प्रति सप्ताह 8 मिलियन डाउनलोड हैं, में मैलवेयर डाला गया है

UAParser.js लाइब्रेरी के कोड को कॉपी करने वाले तीन दुर्भावनापूर्ण पैकेजों के NPM रिपॉजिटरी से हटाने की कहानी को अप्रत्याशित निरंतरता मिली - अज्ञात हमलावरों ने UAParser.js प्रोजेक्ट के लेखक के खाते का नियंत्रण जब्त कर लिया और कोड युक्त अपडेट जारी किए पासवर्ड चुराना और क्रिप्टोकरेंसी खनन करना।

समस्या यह है कि UAParser.js लाइब्रेरी, जो यूजर-एजेंट HTTP हेडर को पार्स करने के लिए फ़ंक्शन प्रदान करती है, प्रति सप्ताह लगभग 8 मिलियन डाउनलोड करती है और 1200 से अधिक परियोजनाओं में निर्भरता के रूप में उपयोग की जाती है। ऐसा कहा जाता है कि UAParser.js का उपयोग Microsoft, Amazon, Facebook, Slack, Discord, Mozilla, Apple, ProtonMail, Autodesk, Reddit, Vimeo, Uber, Dell, IBM, Siemens, Oracle, HP और Verison जैसी कंपनियों की परियोजनाओं में किया जाता है। .

यह हमला प्रोजेक्ट डेवलपर के खाते को हैक करके किया गया था, जिसे अपने मेलबॉक्स में स्पैम की एक असामान्य लहर आने के बाद कुछ गलत होने का एहसास हुआ। वास्तव में डेवलपर का खाता कैसे हैक किया गया, इसकी रिपोर्ट नहीं की गई है। हमलावरों ने 0.7.29, 0.8.0 और 1.0.0 रिलीज़ बनाकर उनमें दुर्भावनापूर्ण कोड डाला। कुछ ही घंटों में, डेवलपर्स ने प्रोजेक्ट पर नियंत्रण हासिल कर लिया और समस्या को ठीक करने के लिए 0.7.30, 0.8.1 और 1.0.1 अपडेट बनाए। दुर्भावनापूर्ण संस्करण केवल एनपीएम रिपॉजिटरी में पैकेज के रूप में प्रकाशित किए गए थे। GitHub पर प्रोजेक्ट की Git रिपॉजिटरी प्रभावित नहीं हुई। वे सभी उपयोगकर्ता जिन्होंने समस्याग्रस्त संस्करण स्थापित किए हैं, यदि उन्हें Linux/macOS पर jsextension फ़ाइल और Windows पर jsextension.exe और create.dll फ़ाइलें मिलती हैं, तो उन्हें सलाह दी जाती है कि वे सिस्टम के साथ समझौता होने पर विचार करें।

जोड़े गए दुर्भावनापूर्ण परिवर्तन UAParser.js के क्लोनों में पहले प्रस्तावित परिवर्तनों की याद दिलाते हैं, जो मुख्य परियोजना पर बड़े पैमाने पर हमले शुरू करने से पहले कार्यक्षमता का परीक्षण करने के लिए जारी किए गए प्रतीत होते थे। Jsextension निष्पादन योग्य फ़ाइल को बाहरी होस्ट से उपयोगकर्ता के सिस्टम पर डाउनलोड और लॉन्च किया गया था, जिसे उपयोगकर्ता के प्लेटफ़ॉर्म और Linux, macOS और Windows पर समर्थित कार्य के आधार पर चुना गया था। विंडोज़ प्लेटफ़ॉर्म के लिए, मोनेरो क्रिप्टोकरेंसी (XMRig माइनर का उपयोग किया गया था) को माइन करने के प्रोग्राम के अलावा, हमलावरों ने पासवर्ड को इंटरसेप्ट करने और उन्हें बाहरी होस्ट पर भेजने के लिए create.dll लाइब्रेरी की शुरूआत का भी आयोजन किया।

डाउनलोड कोड preinstall.sh फ़ाइल में जोड़ा गया था, जिसमें IP=$(curl -k https://freegeoip.app/xml/ | grep 'RU|UA|BY|KZ') if [ -z " डालें $ आईपी" ] ... निष्पादन योग्य फ़ाइल को डाउनलोड करें और चलाएं

जैसा कि कोड से देखा जा सकता है, स्क्रिप्ट ने सबसे पहले freegeoip.app सेवा में आईपी पते की जांच की और रूस, यूक्रेन, बेलारूस और कजाकिस्तान के उपयोगकर्ताओं के लिए दुर्भावनापूर्ण एप्लिकेशन लॉन्च नहीं किया।

स्रोत: opennet.ru

UAParser.js NPM पैकेज, जिसके प्रति सप्ताह 8 मिलियन डाउनलोड हैं, मैलवेयर से युक्त है।

एक टिप्पणी जोड़ें उत्तर रद्द