ເຄື່ອງວິເຄາະໄດ້ຖືກເຜີຍແຜ່ທີ່ກໍານົດ 200 ແພກເກດທີ່ເປັນອັນຕະລາຍໃນ NPM ແລະ PyPI

OpenSSF (Open Source Security Foundation), ສ້າງຕັ້ງຂຶ້ນໂດຍມູນນິທິ Linux ແລະແນໃສ່ປັບປຸງຄວາມປອດໄພຂອງຊອບແວ open source, ແນະນໍາໂຄງການເປີດໂຄງການ Package Analysis, ເຊິ່ງພັດທະນາລະບົບການວິເຄາະການປະກົດຕົວຂອງລະຫັດທີ່ເປັນອັນຕະລາຍໃນແພັກເກັດ. ລະຫັດໂຄງການແມ່ນຂຽນໃນ Go ແລະແຈກຢາຍພາຍໃຕ້ໃບອະນຸຍາດ Apache 2.0. ການສະແກນເບື້ອງຕົ້ນຂອງ NPM ແລະ PyPI repositories ໂດຍໃຊ້ເຄື່ອງມືທີ່ສະເຫນີໄດ້ອະນຸຍາດໃຫ້ພວກເຮົາກໍານົດຫຼາຍກວ່າ 200 ຊຸດທີ່ເປັນອັນຕະລາຍທີ່ບໍ່ເຄີຍກວດພົບກ່ອນຫນ້ານີ້.

ສ່ວນໃຫຍ່ຂອງແພັກເກັດທີ່ມີບັນຫາທີ່ກໍານົດໄດ້ manipulate ຈຸດຕັດຂອງຊື່ທີ່ມີການຂຶ້ນກັບພາຍໃນທີ່ບໍ່ແມ່ນສາທາລະນະຂອງໂຄງການ (ການໂຈມຕີຄວາມສັບສົນການເພິ່ງພາອາໄສ) ຫຼືໃຊ້ວິທີການ typosquatting (ກໍານົດຊື່ທີ່ຄ້າຍຄືກັບຊື່ຂອງຫໍສະຫມຸດທີ່ນິຍົມ), ແລະຍັງໂທຫາສະຄິບທີ່ເຂົ້າເຖິງໂຮດພາຍນອກໃນລະຫວ່າງ. ຂະ​ບວນ​ການ​ຕິດ​ຕັ້ງ​. ອີງຕາມນັກພັດທະນາຂອງ Package Analysis, ສ່ວນໃຫຍ່ຂອງແພັກເກັດທີ່ມີບັນຫາທີ່ຖືກກໍານົດແມ່ນມັກຈະຖືກສ້າງຂື້ນໂດຍນັກຄົ້ນຄວ້າຄວາມປອດໄພທີ່ເຂົ້າຮ່ວມໃນໂຄງການ bug bounty, ເນື່ອງຈາກວ່າຂໍ້ມູນທີ່ສົ່ງແມ່ນຈໍາກັດພຽງແຕ່ຜູ້ໃຊ້ແລະຊື່ລະບົບ, ແລະການປະຕິບັດແມ່ນປະຕິບັດຢ່າງຈະແຈ້ງ, ໂດຍບໍ່ມີການພະຍາຍາມ. ເຊື່ອງ​ພຶດ​ຕິ​ກໍາ​ຂອງ​ເຂົາ​ເຈົ້າ​.

ແພັກເກດທີ່ມີການເຄື່ອນໄຫວທີ່ເປັນອັນຕະລາຍລວມມີ:

• ຊຸດ PyPI discordcmd, ເຊິ່ງບັນທຶກການສົ່ງຄໍາຮ້ອງຂໍແບບປົກກະຕິໄປຫາ raw.githubusercontent.com, Discord API ແລະ ipinfo.io. ຊຸດທີ່ລະບຸໄດ້ດາວໂຫລດລະຫັດ backdoor ຈາກ GitHub ແລະຕິດຕັ້ງມັນຢູ່ໃນໄດເລກະທໍລີລູກຄ້າ Discord Windows, ຫຼັງຈາກນັ້ນມັນເລີ່ມຕົ້ນຂະບວນການຄົ້ນຫາ Discord tokens ໃນລະບົບໄຟລ໌ແລະສົ່ງພວກມັນໄປຫາເຄື່ອງແມ່ຂ່າຍ Discord ພາຍນອກທີ່ຄວບຄຸມໂດຍຜູ້ໂຈມຕີ.
• ຊຸດ colorss NPM ຍັງພະຍາຍາມສົ່ງ tokens ຈາກບັນຊີ Discord ໄປຫາເຄື່ອງແມ່ຂ່າຍພາຍນອກ.
• NPM package @roku-web-core/ajax - ໃນລະຫວ່າງການຕິດຕັ້ງມັນສົ່ງຂໍ້ມູນກ່ຽວກັບລະບົບແລະເປີດຕົວ handler (reverse shell) ທີ່ຍອມຮັບການເຊື່ອມຕໍ່ພາຍນອກແລະຄໍາສັ່ງເປີດຕົວ.
• ຊຸດ PyPI secrevthree - ເປີດຕົວ shell reverse ເມື່ອນໍາເຂົ້າໂມດູນສະເພາະ.
• NPM package random-vouchercode-generator - ຫຼັງຈາກນໍາເຂົ້າຫ້ອງສະຫມຸດ, ມັນໄດ້ສົ່ງຄໍາຮ້ອງຂໍໄປຫາເຄື່ອງແມ່ຂ່າຍພາຍນອກ, ເຊິ່ງສົ່ງຄືນຄໍາສັ່ງແລະເວລາທີ່ມັນຄວນຈະດໍາເນີນການ.

ການເຮັດວຽກຂອງການວິເຄາະ Package ມາລົງໃນການວິເຄາະຊຸດລະຫັດໃນລະຫັດແຫຼ່ງສໍາລັບການສ້າງຕັ້ງການເຊື່ອມຕໍ່ເຄືອຂ່າຍ, ການເຂົ້າເຖິງໄຟລ໌ແລະຄໍາສັ່ງແລ່ນ. ນອກຈາກນັ້ນ, ການປ່ຽນແປງໃນສະຖານະຂອງແພັກເກັດຖືກຕິດຕາມເພື່ອກໍານົດການເພີ່ມຂອງ inserts malicious ໃນຫນຶ່ງໃນການປ່ອຍຂອງຊອບແວອັນຕະລາຍໃນເບື້ອງຕົ້ນ. ເພື່ອຕິດຕາມການປະກົດຕົວຂອງແພັກເກັດໃຫມ່ໃນບ່ອນເກັບມ້ຽນແລະປ່ຽນແປງແພັກເກັດທີ່ຂຽນໄວ້ກ່ອນຫນ້ານີ້, ຊຸດເຄື່ອງມື Package Feeds ຖືກນໍາໃຊ້, ເຊິ່ງປະສົມປະສານການເຮັດວຽກກັບ NPM, PyPI, Go, RubyGems, Packagist, NuGet ແລະ Crate repositories.

ການ​ວິ​ເຄາະ​ຊຸດ​ປະ​ກອບ​ມີ​ສາມ​ອົງ​ປະ​ກອບ​ພື້ນ​ຖານ​ທີ່​ສາ​ມາດ​ນໍາ​ໃຊ້​ທັງ​ໃນ​ການ​ເຊື່ອມ​ຕໍ່​ແລະ​ແຍກ​ຕ່າງ​ຫາກ​:

• ຜູ້ຈັດຕາຕະລາງການເປີດຕົວການວິເຄາະຊຸດເຮັດວຽກໂດຍອີງໃສ່ຂໍ້ມູນຈາກ Package Feeds.
• ເຄື່ອງວິເຄາະທີ່ກວດສອບແພັກເກັດໂດຍກົງແລະປະເມີນພຶດຕິກໍາຂອງມັນໂດຍໃຊ້ການວິເຄາະສະຖິດແລະເຕັກນິກການຕິດຕາມແບບເຄື່ອນໄຫວ. ການທົດສອບແມ່ນດໍາເນີນຢູ່ໃນສະພາບແວດລ້ອມທີ່ໂດດດ່ຽວ.
• ຕົວໂຫຼດທີ່ວາງຜົນການທົດສອບເຂົ້າໄປໃນບ່ອນເກັບຂໍ້ມູນ BigQuery.

ແຫຼ່ງຂໍ້ມູນ: opennet.ru