रूबीजेम्स में 724 दुर्भावनापूर्ण पैकेज पाए गए

रिवर्सिंगलैब्स कंपनी प्रकाशित अनुप्रयोग विश्लेषण परिणाम टाइपक्वाटिंग रूबीजेम्स रिपॉजिटरी में। आमतौर पर, टाइपोस्क्वाटिंग का उपयोग दुर्भावनापूर्ण पैकेजों को वितरित करने के लिए किया जाता है, जो एक असावधान डेवलपर को टाइपो त्रुटि करने या खोज करते समय अंतर पर ध्यान न देने के लिए डिज़ाइन किया गया है। अध्ययन में 700 से अधिक पैकेजों की पहचान की गई, जिनके नाम लोकप्रिय पैकेजों से मिलते-जुलते हैं, लेकिन मामूली विवरणों में भिन्नता है, जैसे समान अक्षरों को प्रतिस्थापित करना या डैश के बजाय अंडरस्कोर का उपयोग करना।

400 से अधिक पैकेजों में दुर्भावनापूर्ण गतिविधियाँ करने वाले संदिग्ध घटक पाए गए। विशेष रूप से, अंदर की फ़ाइल aaa.png थी, जिसमें PE प्रारूप में निष्पादन योग्य कोड शामिल था। ये पैकेज दो खातों से जुड़े थे जिनके माध्यम से रूबीजेम्स को 16 फरवरी से 25 फरवरी, 2020 तक पोस्ट किया गया था। 724 दुर्भावनापूर्ण पैकेज, जिसे कुल मिलाकर लगभग 95 हजार बार डाउनलोड किया गया। शोधकर्ताओं ने रूबीजेम्स प्रशासन को सूचित किया और पहचाने गए दुर्भावनापूर्ण पैकेजों को पहले ही रिपॉजिटरी से हटा दिया गया है।

पहचाने गए समस्याग्रस्त पैकेजों में से, सबसे लोकप्रिय "एटलस-क्लाइंट" था, जो पहली नज़र में वैध पैकेज से व्यावहारिक रूप से अप्रभेद्य है।एटलस_क्लाइंट". निर्दिष्ट पैकेज 2100 बार डाउनलोड किया गया था (सामान्य पैकेज 6496 बार डाउनलोड किया गया था, यानी लगभग 25% मामलों में उपयोगकर्ता गलत थे)। शेष पैकेजों को औसतन 100-150 बार डाउनलोड किया गया था और अंडरस्कोर और डैश को बदलने की समान तकनीक का उपयोग करके अन्य पैकेजों के रूप में छिपाया गया था (उदाहरण के लिए, बीच में) दुर्भावनापूर्ण पैकेज: एपियम-लिब, एक्शन-मेलर_कैश_डिलीवरी, एक्टिवमॉडल_वैलिडेटर्स, एस्कीडॉक्टर_बिब्लियोग्राफ़ी, एसेट्स-पाइपलाइन, एप्रेस_वैलिडेटर्स, एआर_ऑक्टोपस-रेप्लिकेशन-ट्रैकिंग, अलीयुन-ओपन_सर्च, अलीयुन-एमएनएस, एबी_स्प्लिट, एपीएनएस-पोलाइट)।

दुर्भावनापूर्ण पैकेज में एक पीएनजी फ़ाइल शामिल थी जिसमें एक छवि के बजाय विंडोज प्लेटफ़ॉर्म के लिए एक निष्पादन योग्य फ़ाइल थी। फ़ाइल Ocra Ruby2Exe उपयोगिता का उपयोग करके तैयार की गई थी और इसमें रूबी स्क्रिप्ट और रूबी दुभाषिया के साथ एक स्व-निकालने वाला संग्रह शामिल था। पैकेज स्थापित करते समय, पीएनजी फ़ाइल का नाम बदलकर exe कर दिया गया और लॉन्च किया गया। निष्पादन के दौरान, एक VBScript फ़ाइल बनाई गई और ऑटोरन में जोड़ा गया। एक लूप में निर्दिष्ट दुर्भावनापूर्ण वीबीस्क्रिप्ट ने क्रिप्टो वॉलेट पते की याद दिलाने वाली जानकारी की उपस्थिति के लिए क्लिपबोर्ड की सामग्री का विश्लेषण किया, और यदि पता चला, तो वॉलेट नंबर को इस उम्मीद के साथ बदल दिया कि उपयोगकर्ता मतभेदों को नोटिस नहीं करेगा और गलत वॉलेट में धनराशि स्थानांतरित नहीं करेगा। .

अध्ययन से पता चला है कि सबसे लोकप्रिय रिपॉजिटरी में से किसी एक में दुर्भावनापूर्ण पैकेज को जोड़ना मुश्किल नहीं है, और बड़ी संख्या में डाउनलोड के बावजूद ये पैकेज अनदेखे रह सकते हैं। यह ध्यान दिया जाना चाहिए कि समस्या नहीं विशिष्ट के लिए रूबीजेम्स और अन्य लोकप्रिय रिपॉजिटरी को कवर करता है। उदाहरण के लिए, पिछले साल वही शोधकर्ता दिखाया गया एनपीएम रिपॉजिटरी में बीबी-बिल्डर नामक एक दुर्भावनापूर्ण पैकेज है, जो पासवर्ड चुराने के लिए निष्पादन योग्य फ़ाइल लॉन्च करने की समान तकनीक का उपयोग करता है। इससे पहले एक पिछला दरवाजा था मिल गया इवेंट-स्ट्रीम एनपीएम पैकेज के आधार पर, दुर्भावनापूर्ण कोड लगभग 8 मिलियन बार डाउनलोड किया गया था। दुर्भावनापूर्ण पैकेज भी समय-समय पॉप अप PyPI रिपॉजिटरी में।

स्रोत: opennet.ru