मैलवेयर जो निर्मित परियोजनाओं में पिछले दरवाजे डालने के लिए नेटबीन्स पर हमला करता है

GitHub पहचान की मैलवेयर जो नेटबीन्स आईडीई में परियोजनाओं पर हमला करता है और खुद को फैलाने के लिए निर्माण प्रक्रिया का उपयोग करता है। जांच से पता चला कि प्रश्न में मैलवेयर का उपयोग करके, जिसे ऑक्टोपस स्कैनर नाम दिया गया था, पिछले दरवाजे को गुप्त रूप से GitHub पर रिपॉजिटरी के साथ 26 खुली परियोजनाओं में एकीकृत किया गया था। ऑक्टोपस स्कैनर की अभिव्यक्ति का पहला निशान अगस्त 2018 का है।

मैलवेयर नेटबीन्स प्रोजेक्ट फ़ाइलों की पहचान करने और प्रोजेक्ट फ़ाइलों और संकलित JAR फ़ाइलों में अपना कोड जोड़ने में सक्षम है। कार्य एल्गोरिथ्म उपयोगकर्ता की परियोजनाओं के साथ नेटबीन्स निर्देशिका को खोजने, इस निर्देशिका में सभी परियोजनाओं की गणना करने, दुर्भावनापूर्ण स्क्रिप्ट की प्रतिलिपि बनाने तक सीमित है nbproject/cache.dat और फ़ाइल में परिवर्तन कर रहा हूँ nbproject/build-impl.xml हर बार प्रोजेक्ट बनने पर इस स्क्रिप्ट को कॉल करने के लिए। इकट्ठे होने पर, मैलवेयर की एक प्रति परिणामी JAR फ़ाइलों में शामिल हो जाती है, जो आगे वितरण का स्रोत बन जाती है। उदाहरण के लिए, नई रिलीज़ के बिल्ड प्रकाशित करते समय दुर्भावनापूर्ण फ़ाइलें उपर्युक्त 26 ओपन सोर्स प्रोजेक्ट्स के रिपॉजिटरी के साथ-साथ विभिन्न अन्य प्रोजेक्ट्स में पोस्ट की गईं।

जब संक्रमित JAR फ़ाइल को किसी अन्य उपयोगकर्ता द्वारा डाउनलोड और लॉन्च किया गया, तो उसके सिस्टम पर नेटबीन्स की खोज करने और दुर्भावनापूर्ण कोड पेश करने का एक और चक्र शुरू हुआ, जो स्व-प्रचारित कंप्यूटर वायरस के ऑपरेटिंग मॉडल से मेल खाता है। स्व-प्रसार कार्यक्षमता के अलावा, दुर्भावनापूर्ण कोड में सिस्टम तक दूरस्थ पहुंच प्रदान करने के लिए पिछले दरवाजे की कार्यक्षमता भी शामिल है। घटना के समय, बैकडोर कंट्रोल (सी एंड सी) सर्वर सक्रिय नहीं थे।

कुल मिलाकर, प्रभावित परियोजनाओं का अध्ययन करते समय, संक्रमण के 4 प्रकारों की पहचान की गई। विकल्पों में से एक में, लिनक्स में बैकडोर को सक्रिय करने के लिए, एक ऑटोस्टार्ट फ़ाइल "$HOME/.config/autostart/octo.desktop" बनाई गई थी, और विंडोज़ में, इसे लॉन्च करने के लिए schtasks के माध्यम से कार्य लॉन्च किए गए थे। बनाई गई अन्य फ़ाइलों में शामिल हैं:

• $HOME/.local/share/bbauto
• $HOME/.config/autostart/none.desktop
• $HOME/.config/autostart/.desktop
• $HOME/.local/share/Main.class
• $HOME/Library/LaunchAgents/AutoUpdater.dat
• $HOME/Library/LaunchAgents/AutoUpdater.plist
• $HOME/Library/LaunchAgents/SoftwareSync.plist
• $HOME/Library/LaunchAgents/Main.class

पिछले दरवाजे का उपयोग डेवलपर द्वारा विकसित कोड में बुकमार्क जोड़ने, मालिकाना सिस्टम के लीक कोड, गोपनीय डेटा चुराने और खातों पर कब्जा करने के लिए किया जा सकता है। GitHub के शोधकर्ता इस बात से इंकार नहीं करते हैं कि दुर्भावनापूर्ण गतिविधि नेटबीन्स तक ही सीमित नहीं है और ऑक्टोपस स्कैनर के अन्य प्रकार भी हो सकते हैं जो मेक, एमएसबिल्ड, ग्रैडल और अन्य प्रणालियों के आधार पर निर्माण प्रक्रिया में खुद को फैलाने के लिए एम्बेडेड हैं।

प्रभावित परियोजनाओं के नामों का उल्लेख नहीं किया गया है, लेकिन उनका उल्लेख आसानी से किया जा सकता है खोज GitHub में "cache.dat" मास्क का उपयोग करके खोज के माध्यम से। जिन परियोजनाओं में दुर्भावनापूर्ण गतिविधि के निशान पाए गए उनमें से: V2Mp3प्लेयर, JavaPacman, कोसिम-फ्रेमवर्क, पुंटो डी वेंटा, 2डी-भौतिकी-सिमुलेशन, Pacman खेल, जानवर का अनुमान लगाओ, स्नेकसेंटरबॉक्स4, सेकुएन्सिया न्यूमेरिका, कॉल सेंटर, प्रोएक्टोगेरुंडियो, pacman-java_ia, सुपरमारियो-एफआर-.

स्रोत: opennet.ru