724 ແພັກເກັດທີ່ເປັນອັນຕະລາຍຖືກກວດພົບໃນ RubyGems

ບໍລິສັດ ReversingLabs ຈັດພີມມາ ຜົນ​ການ​ວິ​ເຄາະ​ຄໍາ​ຮ້ອງ​ສະ​ຫມັກ​ ປະເພດ ຢູ່ໃນບ່ອນເກັບມ້ຽນ RubyGems. ໂດຍປົກກະຕິ, typosquatting ແມ່ນໃຊ້ເພື່ອແຈກຢາຍແພັກເກັດທີ່ເປັນອັນຕະລາຍທີ່ອອກແບບມາເພື່ອເຮັດໃຫ້ຜູ້ພັດທະນາທີ່ບໍ່ສົນໃຈເພື່ອເຮັດໃຫ້ພິມຜິດຫຼືບໍ່ສັງເກດເຫັນຄວາມແຕກຕ່າງໃນເວລາຄົ້ນຫາ. ການສຶກສາໄດ້ກໍານົດຫຼາຍກວ່າ 700 ຊຸດທີ່ມີຊື່ຄ້າຍຄືກັນກັບຊຸດທີ່ນິຍົມແຕ່ແຕກຕ່າງກັນໃນລາຍລະອຽດເລັກນ້ອຍ, ເຊັ່ນ: ການປ່ຽນຕົວອັກສອນທີ່ຄ້າຍຄືກັນຫຼືໃຊ້ເຄື່ອງຫມາຍຂີດກ້ອງແທນທີ່ຈະເປັນ dashes.

ອົງປະກອບທີ່ສົງໃສວ່າໄດ້ດໍາເນີນກິດຈະກໍາທີ່ເປັນອັນຕະລາຍໄດ້ຖືກພົບເຫັນຢູ່ໃນຫຼາຍກວ່າ 400 ຊຸດ. ໂດຍສະເພາະ, ໄຟລ໌ພາຍໃນແມ່ນ aaa.png, ເຊິ່ງລວມມີລະຫັດປະຕິບັດໃນຮູບແບບ PE. ແພກເກດເຫຼົ່ານີ້ແມ່ນກ່ຽວຂ້ອງກັບສອງບັນຊີໂດຍຜ່ານ RubyGems ໄດ້ຖືກຈັດພີມມາຈາກເດືອນກຸມພາ 16 ຫາ 25 ເດືອນກຸມພາ 2020. 724 ແພັກເກັດທີ່ເປັນອັນຕະລາຍ, ເຊິ່ງໃນຈໍານວນທັງຫມົດໄດ້ຖືກດາວໂຫຼດປະມານ 95 ພັນຄັ້ງ. ນັກຄົ້ນຄວ້າໄດ້ແຈ້ງໃຫ້ຜູ້ບໍລິຫານ RubyGems ແລະແພັກເກັດທີ່ເປັນອັນຕະລາຍທີ່ຖືກລະບຸໄດ້ຖືກລຶບອອກຈາກບ່ອນເກັບມ້ຽນແລ້ວ.

ຂອງຊຸດທີ່ມີບັນຫາທີ່ຖືກກໍານົດ, ທີ່ນິຍົມຫຼາຍທີ່ສຸດແມ່ນ "atlas-client", ເຊິ່ງຢູ່ glance ທໍາອິດແມ່ນບໍ່ສາມາດແຍກອອກຈາກຊຸດທີ່ຖືກຕ້ອງຕາມກົດຫມາຍ ".atlas_client". ຊຸດທີ່ລະບຸໄດ້ຖືກດາວໂຫຼດ 2100 ເທື່ອ (ຊຸດປົກກະຕິໄດ້ຖືກດາວໂຫຼດ 6496 ເທື່ອ, i.e. ຜູ້ໃຊ້ຜິດພາດໃນເກືອບ 25% ຂອງກໍລະນີ). ແພັກເກັດທີ່ຍັງເຫຼືອໄດ້ຖືກດາວໂຫຼດໂດຍສະເລ່ຍ 100-150 ເທື່ອ ແລະຖືກຫລອກລວງເປັນແພັກເກັດອື່ນໆໂດຍໃຊ້ເຕັກນິກທີ່ຄ້າຍຄືກັນຂອງການປ່ຽນເຄື່ອງໝາຍຂີດກ້ອງ ແລະເສັ້ນຂີດຕໍ່ (ຕົວຢ່າງ, ໃນບັນດາ ແພັກເກັດທີ່ເປັນອັນຕະລາຍ: appium-lib, action-mailer_cache_delivery, activemodel_validators, asciidoctor_bibliography, assets-pipeline, apress_validators, ar_octopus-replication-tracking, aliyun-open_search, aliyun-mns, ab_split, apns-polite).

ແພັກເກດທີ່ເປັນອັນຕະລາຍລວມມີໄຟລ໌ PNG ທີ່ມີໄຟລ໌ທີ່ສາມາດປະຕິບັດໄດ້ສໍາລັບເວທີ Windows ແທນທີ່ຈະເປັນຮູບພາບ. ໄຟລ໌ດັ່ງກ່າວຖືກສ້າງຂື້ນໂດຍໃຊ້ປະໂຫຍດຂອງ Ocra Ruby2Exe ແລະລວມເອົາບ່ອນເກັບມ້ຽນທີ່ສະກັດເອົາເອງກັບ Ruby script ແລະຕົວແປພາສາ Ruby. ເມື່ອຕິດຕັ້ງແພັກເກັດ, ໄຟລ໌ png ຖືກປ່ຽນຊື່ເປັນ exe ແລະເປີດຕົວ. ໃນລະຫວ່າງການປະຕິບັດ, ໄຟລ໌ VBScript ໄດ້ຖືກສ້າງຂື້ນແລະເພີ່ມເຂົ້າໃນການແລ່ນອັດຕະໂນມັດ. VBScript ທີ່ເປັນອັນຕະລາຍທີ່ລະບຸໄວ້ໃນ loop ໄດ້ວິເຄາະເນື້ອໃນຂອງ clipboard ສໍາລັບການປະກົດຕົວຂອງຂໍ້ມູນທີ່ລະນຶກເຖິງທີ່ຢູ່ crypto wallet, ແລະຖ້າກວດພົບ, ແທນທີ່ຫມາຍເລກ wallet ດ້ວຍຄວາມຄາດຫວັງວ່າຜູ້ໃຊ້ຈະບໍ່ສັງເກດເຫັນຄວາມແຕກຕ່າງແລະໂອນເງິນໄປຫາ wallet ທີ່ບໍ່ຖືກຕ້ອງ. .

ການສຶກສາໄດ້ສະແດງໃຫ້ເຫັນວ່າມັນບໍ່ແມ່ນເລື່ອງຍາກທີ່ຈະເອົາແພັກເກັດທີ່ເປັນອັນຕະລາຍຖືກເພີ່ມໃສ່ຫນຶ່ງໃນບ່ອນເກັບມ້ຽນທີ່ນິຍົມຫຼາຍທີ່ສຸດ, ແລະແພັກເກັດເຫຼົ່ານີ້ສາມາດຖືກກວດພົບ, ເຖິງແມ່ນວ່າມີຈໍານວນການດາວໂຫລດຢ່າງຫຼວງຫຼາຍ. ຄວນສັງເກດວ່າບັນຫາ ບໍ່ ສະເພາະ ການ RubyGems ແລະກວມເອົາ repositories ທີ່ນິຍົມອື່ນໆ. ຕົວຢ່າງ, ປີທີ່ຜ່ານມານັກຄົ້ນຄວ້າດຽວກັນ ກໍານົດ ຢູ່ໃນບ່ອນເກັບຂໍ້ມູນ NPM ມີຊຸດທີ່ເປັນອັນຕະລາຍທີ່ເອີ້ນວ່າ bb-builder, ເຊິ່ງໃຊ້ເຕັກນິກທີ່ຄ້າຍຄືກັນໃນການເປີດຕົວໄຟລ໌ທີ່ສາມາດປະຕິບັດໄດ້ເພື່ອລັກລະຫັດຜ່ານ. ກ່ອນ​ຫນ້າ​ນີ້​ມີ backdoor ເປັນ​ ພົບ ອີງຕາມແພັກເກັດ NPM ເຫດການ, ລະຫັດອັນຕະລາຍໄດ້ຖືກດາວໂຫຼດປະມານ 8 ລ້ານເທື່ອ. ແພັກເກັດທີ່ເປັນອັນຕະລາຍເຊັ່ນກັນ ແຕ່ລະໄລຍະ ເດັ້ງ​ຂຶ້ນ ຢູ່ໃນບ່ອນເກັບມ້ຽນ PyPI.

ແຫຼ່ງຂໍ້ມູນ: opennet.ru