ಫೆಬ್ರವರಿ 20 ರಂದು, NPM ಡೈರೆಕ್ಟರಿ ಬಳಕೆದಾರರ ಮೇಲೆ ದಾಳಿಯನ್ನು ದಾಖಲಿಸಲಾಗಿದೆ, ಇದರ ಪರಿಣಾಮವಾಗಿ, 15 ಸಾವಿರಕ್ಕೂ ಹೆಚ್ಚು ಪ್ಯಾಕೇಜ್ಗಳನ್ನು NPM ರೆಪೊಸಿಟರಿಯಲ್ಲಿ ಪೋಸ್ಟ್ ಮಾಡಲಾಗಿದೆ, ಅದರಲ್ಲಿ README ಫೈಲ್ಗಳು ಫಿಶಿಂಗ್ ಸೈಟ್ಗಳಿಗೆ ಲಿಂಕ್ಗಳನ್ನು ಅಥವಾ ರಾಯಲ್ಟಿ ಪಾವತಿಸುವ ಕ್ಲಿಕ್ಗಳಿಗಾಗಿ ರೆಫರಲ್ ಲಿಂಕ್ಗಳನ್ನು ಒಳಗೊಂಡಿವೆ. ವಿಶ್ಲೇಷಣೆಯ ಸಮಯದಲ್ಲಿ, 190 ಡೊಮೇನ್ಗಳನ್ನು ಒಳಗೊಂಡ ಪ್ಯಾಕೇಜ್ಗಳಲ್ಲಿ 31 ಅನನ್ಯ ಫಿಶಿಂಗ್ ಅಥವಾ ಜಾಹೀರಾತು ಲಿಂಕ್ಗಳು ಕಂಡುಬಂದಿವೆ.
"ಉಚಿತ-ಟಿಕ್ಟಾಕ್-ಅನುಯಾಯಿಗಳು", "ಉಚಿತ-ಎಕ್ಸ್ಬಾಕ್ಸ್-ಕೋಡ್ಗಳು", "ಇನ್ಸ್ಟಾಗ್ರಾಮ್-ಅನುಯಾಯಿಗಳು-ಮುಕ್ತ" ಮುಂತಾದ ಸಾಮಾನ್ಯ ಜನರ ಆಸಕ್ತಿಯನ್ನು ಆಕರ್ಷಿಸಲು ಪ್ಯಾಕೇಜ್ಗಳ ಹೆಸರುಗಳನ್ನು ಆಯ್ಕೆ ಮಾಡಲಾಗಿದೆ. NPM ನ ಮುಖ್ಯ ಪುಟದಲ್ಲಿನ ಇತ್ತೀಚಿನ ನವೀಕರಣಗಳ ಪಟ್ಟಿಯನ್ನು ಸ್ಪ್ಯಾಮ್ ಪ್ಯಾಕೇಜ್ಗಳೊಂದಿಗೆ ತುಂಬಲು ಈ ಲೆಕ್ಕಾಚಾರವನ್ನು ಮಾಡಲಾಗಿದೆ. ಪ್ಯಾಕೇಜ್ಗಳ ವಿವರಣೆಗಳು ಉಚಿತ ಕೊಡುಗೆಗಳು, ಉಡುಗೊರೆಗಳು, ಆಟದ ಚೀಟ್ಗಳು ಹಾಗೂ ಟಿಕ್ಟಾಕ್ ಮತ್ತು ಇನ್ಸ್ಟಾಗ್ರಾಮ್ನಂತಹ ಸಾಮಾಜಿಕ ನೆಟ್ವರ್ಕ್ಗಳಲ್ಲಿ ಚಂದಾದಾರರು ಮತ್ತು ಇಷ್ಟಗಳನ್ನು ಹೆಚ್ಚಿಸಲು ಉಚಿತ ಸೇವೆಗಳನ್ನು ಭರವಸೆ ನೀಡುವ ಲಿಂಕ್ಗಳನ್ನು ಒದಗಿಸಿವೆ. ಇದು ಮೊದಲ ದಾಳಿಯಲ್ಲ; ಡಿಸೆಂಬರ್ನಲ್ಲಿ, 144 ಸಾವಿರ ಸ್ಪ್ಯಾಮ್ ಪ್ಯಾಕೇಜ್ಗಳನ್ನು NuGet, NPM ಮತ್ತು PyPi ಡೈರೆಕ್ಟರಿಗಳಲ್ಲಿ ಪ್ರಕಟಿಸಲಾಗಿದೆ.
ಪ್ಯಾಕೇಜ್ಗಳ ವಿಷಯಗಳನ್ನು ಪೈಥಾನ್ ಸ್ಕ್ರಿಪ್ಟ್ ಬಳಸಿ ಸ್ವಯಂಚಾಲಿತವಾಗಿ ರಚಿಸಲಾಗಿದೆ, ಅದು ಸ್ಪಷ್ಟವಾಗಿ ಅಜಾಗರೂಕತೆಯಿಂದ ಪ್ಯಾಕೇಜ್ಗಳಲ್ಲಿ ಬಿಡಲಾಗಿತ್ತು ಮತ್ತು ದಾಳಿಯಲ್ಲಿ ಬಳಸಲಾದ ಕೆಲಸದ ರುಜುವಾತುಗಳನ್ನು ಒಳಗೊಂಡಿತ್ತು. ಟ್ರ್ಯಾಕ್ಗಳನ್ನು ಬಿಚ್ಚಲು ಮತ್ತು ಸಮಸ್ಯಾತ್ಮಕ ಪ್ಯಾಕೇಜ್ಗಳನ್ನು ತ್ವರಿತವಾಗಿ ಗುರುತಿಸಲು ಕಷ್ಟಕರವಾಗಿಸುವ ತಂತ್ರಗಳನ್ನು ಬಳಸಿಕೊಂಡು ಪ್ಯಾಕೇಜ್ಗಳನ್ನು ಹಲವು ವಿಭಿನ್ನ ಖಾತೆಗಳ ಅಡಿಯಲ್ಲಿ ಪ್ರಕಟಿಸಲಾಯಿತು.
ವಂಚನೆಯ ಚಟುವಟಿಕೆಯ ಜೊತೆಗೆ, NPM ಮತ್ತು PyPi ರೆಪೊಸಿಟರಿಗಳಲ್ಲಿ ದುರುದ್ದೇಶಪೂರಿತ ಪ್ಯಾಕೇಜ್ಗಳನ್ನು ಪ್ರಕಟಿಸುವ ಹಲವಾರು ಪ್ರಯತ್ನಗಳು ಪತ್ತೆಯಾಗಿವೆ:
- PyPI ರೆಪೊಸಿಟರಿಯಲ್ಲಿ 451 ದುರುದ್ದೇಶಪೂರಿತ ಪ್ಯಾಕೇಜ್ಗಳು ಕಂಡುಬಂದಿವೆ, ಅವುಗಳು ಟೈಪೋಸ್ಕ್ವಾಟಿಂಗ್ ಅನ್ನು ಬಳಸಿಕೊಂಡು ಕೆಲವು ಜನಪ್ರಿಯ ಗ್ರಂಥಾಲಯಗಳಂತೆ ವೇಷ ಧರಿಸಿದ್ದವು (ಉದಾಹರಣೆಗೆ, vyper ಬದಲಿಗೆ vper, bitcoinlib ಬದಲಿಗೆ bitcoinnlib, cryptofeed ಬದಲಿಗೆ ccryptofeed, ccxt ಬದಲಿಗೆ ccxtt, cryptocompare ಬದಲಿಗೆ cryptocompare, seleum ಬದಲಿಗೆ seleum, pyinstaller ಬದಲಿಗೆ pinstaller, ಇತ್ಯಾದಿ). ಪ್ಯಾಕೇಜ್ಗಳು ಕ್ರಿಪ್ಟೋಕರೆನ್ಸಿಯನ್ನು ಕದಿಯಲು ಅಸ್ಪಷ್ಟ ಕೋಡ್ ಅನ್ನು ಒಳಗೊಂಡಿತ್ತು, ಇದು ಕ್ಲಿಪ್ಬೋರ್ಡ್ನಲ್ಲಿ ಕ್ರಿಪ್ಟೋ ವ್ಯಾಲೆಟ್ ಗುರುತಿಸುವಿಕೆಗಳ ಉಪಸ್ಥಿತಿಯನ್ನು ಪತ್ತೆಹಚ್ಚಿತು ಮತ್ತು ಅವುಗಳನ್ನು ಆಕ್ರಮಣಕಾರರ ವ್ಯಾಲೆಟ್ನೊಂದಿಗೆ ಬದಲಾಯಿಸಿತು (ಪಾವತಿ ಮಾಡುವಾಗ, ಕ್ಲಿಪ್ಬೋರ್ಡ್ ಮೂಲಕ ವರ್ಗಾಯಿಸಲಾದ ವ್ಯಾಲೆಟ್ ಸಂಖ್ಯೆ ವಿಭಿನ್ನವಾಗಿದೆ ಎಂದು ಬಲಿಪಶು ಗಮನಿಸುವುದಿಲ್ಲ ಎಂದು ಭಾವಿಸಲಾಗಿದೆ). ವೀಕ್ಷಿಸಿದ ಪ್ರತಿಯೊಂದು ವೆಬ್ ಪುಟದ ಸಂದರ್ಭದಲ್ಲಿ ಕಾರ್ಯಗತಗೊಳಿಸಲಾದ ಎಂಬೆಡೆಡ್ ಬ್ರೌಸರ್ ಆಡ್-ಆನ್ ಮೂಲಕ ಪರ್ಯಾಯವನ್ನು ನಡೆಸಲಾಯಿತು.
- PyPI ರೆಪೊಸಿಟರಿಯಲ್ಲಿ ದುರುದ್ದೇಶಪೂರಿತ HTTP ಲೈಬ್ರರಿಗಳ ಸರಣಿಯನ್ನು ಗುರುತಿಸಲಾಗಿದೆ. 41 ಪ್ಯಾಕೇಜ್ಗಳಲ್ಲಿ ದುರುದ್ದೇಶಪೂರಿತ ಚಟುವಟಿಕೆ ಕಂಡುಬಂದಿದೆ, ಇವುಗಳ ಹೆಸರುಗಳನ್ನು ಟೈಪೊಸ್ಕ್ವಾಟಿಂಗ್ ವಿಧಾನಗಳನ್ನು ಬಳಸಿ ಆಯ್ಕೆ ಮಾಡಲಾಗಿದೆ ಮತ್ತು ಜನಪ್ರಿಯ ಲೈಬ್ರರಿಗಳನ್ನು ಹೋಲುತ್ತವೆ (aio5, requestst, ulrlib, urllb, libhttps, piphttps, httpxv2, ಇತ್ಯಾದಿ). ಪೇಲೋಡ್ ಅನ್ನು ಕಾರ್ಯನಿರ್ವಹಿಸುವ HTTP ಲೈಬ್ರರಿಗಳಂತೆ ಶೈಲೀಕರಿಸಲಾಗಿದೆ ಅಥವಾ ಅಸ್ತಿತ್ವದಲ್ಲಿರುವ ಲೈಬ್ರರಿಗಳ ಕೋಡ್ ಅನ್ನು ನಕಲಿಸಲಾಗಿದೆ ಮತ್ತು ವಿವರಣೆಗಳು ಅನುಕೂಲಗಳ ಬಗ್ಗೆ ಹಕ್ಕುಗಳು ಮತ್ತು ಕಾನೂನುಬದ್ಧ HTTP ಲೈಬ್ರರಿಗಳೊಂದಿಗೆ ಹೋಲಿಕೆಗಳನ್ನು ಒಳಗೊಂಡಿವೆ. ದುರುದ್ದೇಶಪೂರಿತ ಚಟುವಟಿಕೆಯು ಸಿಸ್ಟಮ್ಗೆ ಮಾಲ್ವೇರ್ ಡೌನ್ಲೋಡ್ ಮಾಡುವುದು ಅಥವಾ ಗೌಪ್ಯ ಡೇಟಾವನ್ನು ಸಂಗ್ರಹಿಸುವುದು ಮತ್ತು ಕಳುಹಿಸುವುದಕ್ಕೆ ಸೀಮಿತವಾಗಿತ್ತು.
- NPM 16 ಜಾವಾಸ್ಕ್ರಿಪ್ಟ್ ಪ್ಯಾಕೇಜ್ಗಳನ್ನು (speedte*, trova*, lagra) ಗುರುತಿಸಿದೆ, ಅವುಗಳು ಅವುಗಳ ಹೇಳಲಾದ ಕಾರ್ಯನಿರ್ವಹಣೆಯ ಜೊತೆಗೆ (ಬ್ಯಾಂಡ್ವಿಡ್ತ್ ಪರೀಕ್ಷೆ), ಬಳಕೆದಾರರ ಅರಿವಿಲ್ಲದೆ ಕ್ರಿಪ್ಟೋಕರೆನ್ಸಿಯನ್ನು ಗಣಿಗಾರಿಕೆ ಮಾಡಲು ಕೋಡ್ ಅನ್ನು ಸಹ ಒಳಗೊಂಡಿವೆ.
- NPM ನಲ್ಲಿ 691 ದುರುದ್ದೇಶಪೂರಿತ ಪ್ಯಾಕೇಜ್ಗಳು ಪತ್ತೆಯಾಗಿವೆ. ಹೆಚ್ಚಿನ ಸಮಸ್ಯಾತ್ಮಕ ಪ್ಯಾಕೇಜ್ಗಳು Yandex ಯೋಜನೆಗಳನ್ನು (yandex-logger-sentry, yandex-logger-qloud, yandex-sendsms, ಇತ್ಯಾದಿ) ಅನುಕರಿಸಿದ್ದವು ಮತ್ತು ಬಾಹ್ಯ ಸರ್ವರ್ಗಳಿಗೆ ಗೌಪ್ಯ ಮಾಹಿತಿಯನ್ನು ಕಳುಹಿಸಲು ಕೋಡ್ ಅನ್ನು ಒಳಗೊಂಡಿತ್ತು. ಸರ್ವರ್ಗಳುಯಾಂಡೆಕ್ಸ್ನಲ್ಲಿ (ಆಂತರಿಕ ಅವಲಂಬನೆಗಳನ್ನು ಬದಲಿಸುವ ವಿಧಾನ) ಯೋಜನೆಗಳನ್ನು ನಿರ್ಮಿಸುವಾಗ ಪ್ಯಾಕೇಜ್ಗಳನ್ನು ಪೋಸ್ಟ್ ಮಾಡಿದವರು ತಮ್ಮದೇ ಆದ ಅವಲಂಬನೆಗಳನ್ನು ಬದಲಿಸಲು ಪ್ರಯತ್ನಿಸುತ್ತಿದ್ದಾರೆ ಎಂದು ನಂಬಲಾಗಿದೆ. PyPI ರೆಪೊಸಿಟರಿಯಲ್ಲಿ, ಅದೇ ಸಂಶೋಧಕರು ಬಾಹ್ಯ ಸರ್ವರ್ನಿಂದ ಕಾರ್ಯಗತಗೊಳಿಸಬಹುದಾದ ಫೈಲ್ ಅನ್ನು ಡೌನ್ಲೋಡ್ ಮಾಡುವ ಮತ್ತು ರನ್ ಮಾಡುವ ಅಸ್ಪಷ್ಟ ದುರುದ್ದೇಶಪೂರಿತ ಕೋಡ್ ಅನ್ನು ಹೊಂದಿರುವ 49 ಪ್ಯಾಕೇಜ್ಗಳನ್ನು (reqsystem, httpxfaster, aio6, gorilla2, httpsos, pohttp, ಇತ್ಯಾದಿ) ಕಂಡುಕೊಂಡರು. ಸರ್ವರ್.
ಮೂಲ: opennet.ru
