NPM, PyPI എന്നിവയിൽ 200 ക്ഷുദ്ര പാക്കേജുകൾ തിരിച്ചറിഞ്ഞ ഒരു അനലൈസർ പ്രസിദ്ധീകരിച്ചു

ലിനക്സ് ഫൗണ്ടേഷൻ രൂപീകരിച്ചതും ഓപ്പൺ സോഴ്‌സ് സോഫ്‌റ്റ്‌വെയറിന്റെ സുരക്ഷ മെച്ചപ്പെടുത്താൻ ലക്ഷ്യമിട്ടുള്ളതുമായ ഓപ്പൺഎസ്‌എസ്എഫ് (ഓപ്പൺ സോഴ്‌സ് സെക്യൂരിറ്റി ഫൗണ്ടേഷൻ) ഓപ്പൺ പ്രോജക്റ്റ് പാക്കേജ് അനാലിസിസ് അവതരിപ്പിച്ചു, ഇത് പാക്കേജുകളിലെ ക്ഷുദ്ര കോഡിന്റെ സാന്നിധ്യം വിശകലനം ചെയ്യുന്നതിനുള്ള ഒരു സംവിധാനം വികസിപ്പിക്കുന്നു. പ്രോജക്റ്റ് കോഡ് Go- ൽ എഴുതുകയും Apache 2.0 ലൈസൻസിന് കീഴിൽ വിതരണം ചെയ്യുകയും ചെയ്യുന്നു. നിർദ്ദിഷ്ട ടൂളുകൾ ഉപയോഗിച്ച് NPM, PyPI റിപ്പോസിറ്ററികളുടെ പ്രാഥമിക സ്കാൻ, മുമ്പ് കണ്ടെത്താത്ത 200-ലധികം ക്ഷുദ്ര പാക്കേജുകൾ തിരിച്ചറിയാൻ ഞങ്ങളെ അനുവദിച്ചു.

കണ്ടെത്തിയ പ്രശ്‌നകരമായ പാക്കേജുകളിൽ ഭൂരിഭാഗവും പ്രോജക്റ്റുകളുടെ ആന്തരിക പൊതുമല്ലാത്ത ആശ്രിതത്വങ്ങളുള്ള പേരുകളുടെ കവലയിൽ കൃത്രിമം കാണിക്കുന്നു (ആശ്രിത ആശയക്കുഴപ്പം ആക്രമണം) അല്ലെങ്കിൽ ടൈപ്പോസ്‌ക്വാറ്റിംഗ് രീതികൾ ഉപയോഗിക്കുന്നു (ജനപ്രിയ ലൈബ്രറികളുടെ പേരുകൾക്ക് സമാനമായ പേരുകൾ നൽകുന്നു), കൂടാതെ ബാഹ്യ ഹോസ്റ്റുകളിലേക്ക് ആക്‌സസ് ചെയ്യുന്ന സ്‌ക്രിപ്റ്റുകളെ വിളിക്കുകയും ചെയ്യുന്നു. ഇൻസ്റ്റലേഷൻ പ്രക്രിയ. പാക്കേജ് അനാലിസിസിന്റെ ഡെവലപ്പർമാരുടെ അഭിപ്രായത്തിൽ, ബഗ് ബൗണ്ടി പ്രോഗ്രാമുകളിൽ പങ്കെടുക്കുന്ന സുരക്ഷാ ഗവേഷകരാണ് കണ്ടെത്തിയ പ്രശ്‌നകരമായ പാക്കേജുകളിൽ ഭൂരിഭാഗവും സൃഷ്‌ടിച്ചത്, കാരണം അയച്ച ഡാറ്റ ഉപയോക്താവിനും സിസ്റ്റം നാമത്തിനും മാത്രമായി പരിമിതപ്പെടുത്തിയിരിക്കുന്നു, കൂടാതെ പ്രവർത്തനങ്ങൾ വ്യക്തതയോടെ നടപ്പിലാക്കുന്നു. അവരുടെ പെരുമാറ്റം മറയ്ക്കുക.

ക്ഷുദ്ര പ്രവർത്തനമുള്ള പാക്കേജുകളിൽ ഇവ ഉൾപ്പെടുന്നു:

• raw.githubusercontent.com, Discord API, ipinfo.io എന്നിവയിലേക്ക് വിഭിന്നമായ അഭ്യർത്ഥനകൾ അയയ്ക്കുന്നത് രേഖപ്പെടുത്തുന്ന PyPI പാക്കേജ് discordcmd. നിർദ്ദിഷ്ട പാക്കേജ് GitHub-ൽ നിന്ന് ബാക്ക്‌ഡോർ കോഡ് ഡൗൺലോഡ് ചെയ്‌ത് ഡിസ്‌കോർഡ് വിൻഡോസ് ക്ലയന്റ് ഡയറക്‌ടറിയിൽ ഇൻസ്‌റ്റാൾ ചെയ്‌തു, അതിനുശേഷം ഫയൽ സിസ്റ്റത്തിൽ ഡിസ്‌കോർഡ് ടോക്കണുകൾ തിരയുകയും ആക്രമണകാരികൾ നിയന്ത്രിക്കുന്ന ഒരു ബാഹ്യ ഡിസ്‌കോർഡ് സെർവറിലേക്ക് അയയ്‌ക്കുകയും ചെയ്യുന്ന പ്രക്രിയ ആരംഭിച്ചു.
• colorss NPM പാക്കേജ് ഒരു ഡിസ്‌കോർഡ് അക്കൗണ്ടിൽ നിന്ന് ഒരു ബാഹ്യ സെർവറിലേക്ക് ടോക്കണുകൾ അയയ്ക്കാനും ശ്രമിച്ചു.
• NPM പാക്കേജ് @roku-web-core/ajax - ഇൻസ്റ്റലേഷൻ പ്രക്രിയയിൽ അത് സിസ്റ്റത്തെക്കുറിച്ചുള്ള ഡാറ്റ അയയ്ക്കുകയും ബാഹ്യ കണക്ഷനുകൾ സ്വീകരിക്കുകയും കമാൻഡുകൾ ലോഞ്ച് ചെയ്യുകയും ചെയ്യുന്ന ഒരു ഹാൻഡ്‌ലർ (റിവേഴ്സ് ഷെൽ) സമാരംഭിച്ചു.
• PyPI പാക്കേജ് secrevthree - ഒരു പ്രത്യേക മൊഡ്യൂൾ ഇറക്കുമതി ചെയ്യുമ്പോൾ ഒരു റിവേഴ്സ് ഷെൽ സമാരംഭിച്ചു.
• NPM പാക്കേജ് റാൻഡം-വൗച്ചർകോഡ്-ജനറേറ്റർ - ലൈബ്രറി ഇറക്കുമതി ചെയ്ത ശേഷം, അത് ഒരു ബാഹ്യ സെർവറിലേക്ക് ഒരു അഭ്യർത്ഥന അയച്ചു, അത് കമാൻഡും അത് പ്രവർത്തിപ്പിക്കേണ്ട സമയവും തിരികെ നൽകി.

നെറ്റ്‌വർക്ക് കണക്ഷനുകൾ സ്ഥാപിക്കുന്നതിനും ഫയലുകൾ ആക്‌സസ് ചെയ്യുന്നതിനും കമാൻഡുകൾ പ്രവർത്തിപ്പിക്കുന്നതിനുമുള്ള സോഴ്‌സ് കോഡിലെ കോഡ് പാക്കേജുകൾ വിശകലനം ചെയ്യുന്നതിലേക്കാണ് പാക്കേജ് വിശകലനത്തിന്റെ പ്രവർത്തനം. കൂടാതെ, തുടക്കത്തിൽ നിരുപദ്രവകരമായ സോഫ്‌റ്റ്‌വെയറുകളുടെ റിലീസുകളിലൊന്നിൽ ക്ഷുദ്രകരമായ ഉൾപ്പെടുത്തലുകൾ ചേർക്കുന്നത് നിർണ്ണയിക്കാൻ പാക്കേജുകളുടെ അവസ്ഥയിലെ മാറ്റങ്ങൾ നിരീക്ഷിക്കുന്നു. റിപ്പോസിറ്ററികളിലെ പുതിയ പാക്കേജുകളുടെ രൂപം നിരീക്ഷിക്കുന്നതിനും മുമ്പ് പോസ്റ്റുചെയ്ത പാക്കേജുകളിൽ മാറ്റങ്ങൾ വരുത്തുന്നതിനും, NPM, PyPI, Go, RubyGems, Packagist, NuGet, Crate റിപ്പോസിറ്ററികൾ എന്നിവയുമായുള്ള പ്രവർത്തനത്തെ ഏകീകരിക്കുന്ന പാക്കേജ് ഫീഡ്സ് ടൂൾകിറ്റ് ഉപയോഗിക്കുന്നു.

പാക്കേജ് വിശകലനത്തിൽ മൂന്ന് അടിസ്ഥാന ഘടകങ്ങൾ ഉൾപ്പെടുന്നു, അവ സംയോജിപ്പിച്ചും വെവ്വേറെയും ഉപയോഗിക്കാം:

• പാക്കേജ് ഫീഡുകളിൽ നിന്നുള്ള ഡാറ്റയെ അടിസ്ഥാനമാക്കി പാക്കേജ് വിശകലന പ്രവർത്തനങ്ങൾ സമാരംഭിക്കുന്നതിനുള്ള ഷെഡ്യൂളർ.
• സ്റ്റാറ്റിക് അനാലിസിസും ഡൈനാമിക് ട്രെയ്‌സിംഗ് ടെക്‌നിക്കുകളും ഉപയോഗിച്ച് ഒരു പാക്കേജ് നേരിട്ട് പരിശോധിക്കുകയും അതിന്റെ സ്വഭാവം വിലയിരുത്തുകയും ചെയ്യുന്ന ഒരു അനലൈസർ. ഒറ്റപ്പെട്ട അന്തരീക്ഷത്തിലാണ് പരിശോധന നടത്തുന്നത്.
• BigQuery സംഭരണത്തിലേക്ക് പരിശോധനാ ഫലങ്ങൾ സ്ഥാപിക്കുന്ന ഒരു ലോഡർ.

അവലംബം: opennet.ru