មេរោគត្រូវបានបញ្ចូលទៅក្នុងកញ្ចប់ UAParser.js NPM ដែលមានការទាញយក 8M ក្នុងមួយសប្តាហ៍

រឿងរ៉ាវនៃការដកចេញពីឃ្លាំង NPM នៃកញ្ចប់ព្យាបាទចំនួនបីដែលបានចម្លងកូដនៃបណ្ណាល័យ UAParser.js បានទទួលការបន្តដែលមិននឹកស្មានដល់ - អ្នកវាយប្រហារដែលមិនស្គាល់បានចាប់យកការគ្រប់គ្រងគណនីរបស់អ្នកនិពន្ធនៃគម្រោង UAParser.js និងបានចេញផ្សាយបច្ចុប្បន្នភាពដែលមានកូដសម្រាប់ ការលួចពាក្យសម្ងាត់ និងការរុករករូបិយប័ណ្ណគ្រីបតូ។

បញ្ហាគឺថាបណ្ណាល័យ UAParser.js ដែលផ្តល់មុខងារសម្រាប់ញែកបឋមកថា User-Agent HTTP មានការទាញយកប្រហែល 8 លានក្នុងមួយសប្តាហ៍ ហើយត្រូវបានប្រើប្រាស់ជាការពឹងផ្អែកនៅក្នុងគម្រោងជាង 1200 ។ វាត្រូវបានបញ្ជាក់ថា UAParser.js ត្រូវបានប្រើនៅក្នុងគម្រោងរបស់ក្រុមហ៊ុនដូចជា Microsoft, Amazon, Facebook, Slack, Discord, Mozilla, Apple, ProtonMail, Autodesk, Reddit, Vimeo, Uber, Dell, IBM, Siemens, Oracle, HP និង Verison .

ការវាយប្រហារនេះត្រូវបានធ្វើឡើងតាមរយៈការលួចចូលគណនីរបស់អ្នកអភិវឌ្ឍន៍គម្រោង ដែលបានដឹងថាមានអ្វីមួយខុសប្រក្រតី បន្ទាប់ពីរលក spam មិនធម្មតាបានធ្លាក់ចូលទៅក្នុងប្រអប់សំបុត្ររបស់គាត់។ របៀបដែលគណនីរបស់អ្នកអភិវឌ្ឍន៍ត្រូវបាន hacked មិនត្រូវបានរាយការណ៍ទេ។ អ្នកវាយប្រហារបានបង្កើតការចេញផ្សាយ 0.7.29, 0.8.0 និង 1.0.0 ដោយណែនាំកូដព្យាបាទទៅក្នុងពួកគេ។ ក្នុងរយៈពេលពីរបីម៉ោង អ្នកអភិវឌ្ឍន៍ទទួលបានការគ្រប់គ្រងគម្រោងឡើងវិញ ហើយបានបង្កើតបច្ចុប្បន្នភាព 0.7.30, 0.8.1 និង 1.0.1 ដើម្បីដោះស្រាយបញ្ហា។ កំណែព្យាបាទត្រូវបានបោះពុម្ពតែជាកញ្ចប់នៅក្នុងឃ្លាំង NPM ប៉ុណ្ណោះ។ ឃ្លាំង Git របស់គម្រោងនៅលើ GitHub មិនត្រូវបានប៉ះពាល់ទេ។ អ្នកប្រើប្រាស់ទាំងអស់ដែលបានដំឡើងកំណែដែលមានបញ្ហា ប្រសិនបើពួកគេរកឃើញឯកសារ jsextension នៅលើ Linux/macOS និងឯកសារ jsextension.exe និង create.dll នៅលើ Windows ត្រូវបានគេណែនាំឱ្យពិចារណាថាប្រព័ន្ធត្រូវបានសម្របសម្រួល។

ការផ្លាស់ប្តូរព្យាបាទដែលបានបន្ថែមគឺនឹកឃើញដល់ការផ្លាស់ប្តូរដែលបានស្នើឡើងពីមុននៅក្នុងក្លូននៃ UAParser.js ដែលហាក់ដូចជាត្រូវបានចេញផ្សាយដើម្បីសាកល្បងមុខងារ មុនពេលចាប់ផ្តើមការវាយប្រហារទ្រង់ទ្រាយធំលើគម្រោងចម្បង។ ឯកសារដែលអាចប្រតិបត្តិបាន jsextension ត្រូវបានទាញយក និងដាក់ឱ្យដំណើរការលើប្រព័ន្ធរបស់អ្នកប្រើពីម៉ាស៊ីនខាងក្រៅ ដែលត្រូវបានជ្រើសរើសអាស្រ័យលើវេទិការបស់អ្នកប្រើ និងការងារដែលគាំទ្រនៅលើ Linux, macOS និង Windows ។ សម្រាប់ប្រព័ន្ធប្រតិបត្តិការ Windows បន្ថែមពីលើកម្មវិធីសម្រាប់ការជីកយករ៉ែរូបិយប័ណ្ណ Monero (អ្នករុករករ៉ែ XMRig ត្រូវបានប្រើ) អ្នកវាយប្រហារក៏បានរៀបចំការណែនាំនៃបណ្ណាល័យ create.dll ដើម្បីស្ទាក់ចាប់ពាក្យសម្ងាត់ និងបញ្ជូនពួកគេទៅកាន់ម៉ាស៊ីនខាងក្រៅ។

លេខកូដទាញយកត្រូវបានបន្ថែមទៅឯកសារ preinstall.sh ដែលក្នុងនោះបញ្ចូល IP=$(curl -k https://freegeoip.app/xml/ | grep 'RU|UA|BY|KZ') ប្រសិនបើ [ -z " $ IP" ] ... ទាញយក និងដំណើរការឯកសារដែលអាចប្រតិបត្តិបាន។

ដូចដែលអាចមើលឃើញពីកូដ ស្គ្រីបដំបូងបានពិនិត្យអាសយដ្ឋាន IP នៅក្នុងសេវាកម្ម freegeoip.app ហើយមិនបានបើកដំណើរការកម្មវិធីព្យាបាទសម្រាប់អ្នកប្រើប្រាស់មកពីប្រទេសរុស្ស៊ី អ៊ុយក្រែន បេឡារុស្ស និងកាហ្សាក់ស្ថានទេ។

ប្រភព: opennet.ru