പാക്കേജിസ്റ്റ് റിപ്പോസിറ്ററിയിലെ 14 PHP ലൈബ്രറികളുടെ നിയന്ത്രണം ഏറ്റെടുത്തു

Packagist പാക്കേജ് റിപ്പോസിറ്ററിയുടെ അഡ്മിനിസ്ട്രേറ്റർമാർ ഒരു ആക്രമണത്തെ കുറിച്ചുള്ള വിവരങ്ങൾ വെളിപ്പെടുത്തി, അത് അനുഗമിക്കുന്ന 14 PHP ലൈബ്രറികളുടെ അക്കൌണ്ടുകളുടെ നിയന്ത്രണത്തിൽ കലാശിച്ചു, ഇൻസ്റ്റൻറേറ്റർ പോലുള്ള ജനപ്രിയ പാക്കേജുകൾ ഉൾപ്പെടെ (മൊത്തം 526 ദശലക്ഷം ഇൻസ്റ്റാളേഷനുകൾ, പ്രതിമാസം 8 ദശലക്ഷം ഇൻസ്റ്റാളേഷനുകൾ, 323 ആശ്രിത പാക്കേജുകൾ), sql -ഫോർമാറ്റർ (94 ദശലക്ഷം മൊത്തത്തിലുള്ള ഇൻസ്റ്റാളേഷനുകൾ, പ്രതിമാസം 800 ആയിരം, 109 ആശ്രിത പാക്കേജുകൾ), ഡോക്ട്രിൻ-കാഷെ-ബണ്ടിൽ (73 ദശലക്ഷം മൊത്തത്തിലുള്ള ഇൻസ്റ്റാളേഷനുകൾ, പ്രതിമാസം 500 ആയിരം, 348 ആശ്രിത പാക്കേജുകൾ), ആർകോഡ്-ഡിറ്റക്ടർ-ഡീകോഡർ (20 ദശലക്ഷം മൊത്തത്തിലുള്ള ഇൻസ്റ്റാളേഷനുകൾ , പ്രതിമാസം 400 ആയിരം, 66 ആശ്രിത പാക്കേജുകൾ).

അക്കൗണ്ടുകളിൽ വിട്ടുവീഴ്ച ചെയ്ത ശേഷം, ആക്രമണകാരി കമ്പോസർ.json ഫയൽ പരിഷ്കരിച്ചു, വിവര സുരക്ഷയുമായി ബന്ധപ്പെട്ട ജോലി അന്വേഷിക്കുകയാണെന്ന് പ്രോജക്റ്റ് വിവരണ ഫീൽഡിൽ വിവരങ്ങൾ ചേർത്തു. Composer.json ഫയലിൽ മാറ്റങ്ങൾ വരുത്താൻ, ആക്രമണകാരി യഥാർത്ഥ റിപ്പോസിറ്ററികളുടെ URL-കൾ മാറ്റി പരിഷ്കരിച്ച ഫോർക്കുകളിലേക്കുള്ള ലിങ്കുകൾ നൽകി (GitHub-ൽ വികസിപ്പിച്ച പ്രോജക്റ്റുകളിലേക്കുള്ള ലിങ്കുകളുള്ള മെറ്റാഡാറ്റ മാത്രമേ പാക്കജിസ്റ്റ് നൽകുന്നു; "കമ്പോസർ ഇൻസ്റ്റാൾ" അല്ലെങ്കിൽ "കമ്പോസർ അപ്ഡേറ്റ്" ഉപയോഗിച്ച് ഇൻസ്റ്റാൾ ചെയ്യുമ്പോൾ കമാൻഡ്, പാക്കേജുകൾ GitHub ൽ നിന്ന് നേരിട്ട് ഡൗൺലോഡ് ചെയ്യുന്നു ). ഉദാഹരണത്തിന്, acmephp പാക്കേജിനായി, ലിങ്ക് ചെയ്ത ശേഖരം acmephp/acmephp-ൽ നിന്ന് neskafe3v1/acmephp-ലേക്ക് മാറ്റി.

പ്രത്യക്ഷത്തിൽ, ആക്രമണം നടത്തിയത് ക്ഷുദ്രകരമായ പ്രവർത്തനങ്ങൾ ചെയ്യാനല്ല, മറിച്ച് വ്യത്യസ്ത സൈറ്റുകളിൽ ഡ്യൂപ്ലിക്കേറ്റ് ക്രെഡൻഷ്യലുകൾ ഉപയോഗിക്കുന്നതിനെക്കുറിച്ചുള്ള അശ്രദ്ധമായ മനോഭാവത്തിന്റെ അസ്വീകാര്യതയുടെ പ്രകടനമായാണ്. അതേസമയം, ആക്രമണകാരി, "നൈതിക ഹാക്കിംഗ്" എന്ന സ്ഥാപിത സമ്പ്രദായത്തിന് വിരുദ്ധമായി, പരീക്ഷണം നടത്തുന്നതിനെക്കുറിച്ച് ലൈബ്രറി ഡെവലപ്പർമാരെയും റിപ്പോസിറ്ററി അഡ്മിനിസ്ട്രേറ്റർമാരെയും മുൻകൂട്ടി അറിയിച്ചില്ല. ജോലിയിൽ വിജയിച്ച ശേഷം ആക്രമണത്തിന് ഉപയോഗിച്ച രീതികളെക്കുറിച്ച് വിശദമായ റിപ്പോർട്ട് പ്രസിദ്ധീകരിക്കുമെന്ന് അക്രമി പിന്നീട് പ്രഖ്യാപിച്ചു.

പാക്കേജിസ്റ്റ് അഡ്മിനിസ്ട്രേറ്റർമാർ പ്രസിദ്ധീകരിച്ച ഡാറ്റ അനുസരിച്ച്, വിട്ടുവീഴ്ച ചെയ്യപ്പെട്ട പാക്കേജുകൾ കൈകാര്യം ചെയ്യുന്ന എല്ലാ അക്കൗണ്ടുകളും ടു-ഫാക്ടർ പ്രാമാണീകരണം പ്രവർത്തനക്ഷമമാക്കാതെ എളുപ്പത്തിൽ ഊഹിക്കാൻ കഴിയുന്ന പാസ്‌വേഡുകൾ ഉപയോഗിച്ചു. ഹാക്ക് ചെയ്യപ്പെട്ട അക്കൗണ്ടുകൾ പാക്കജിസ്റ്റിൽ മാത്രമല്ല, മറ്റ് സേവനങ്ങളിലും ഉപയോഗിക്കുന്ന പാസ്‌വേഡുകൾ ഉപയോഗിച്ചുവെന്നാണ് ആരോപണം, ഇവയുടെ പാസ്‌വേഡ് ഡാറ്റാബേസുകൾ മുമ്പ് അപഹരിക്കപ്പെട്ട് പൊതുവായി ലഭ്യമാണ്. കാലഹരണപ്പെട്ട ഡൊമെയ്‌നുകളിലേക്ക് ലിങ്ക് ചെയ്‌തിരിക്കുന്ന അക്കൗണ്ട് ഉടമകളുടെ ഇമെയിലുകൾ ക്യാപ്‌ചർ ചെയ്യുന്നതും ആക്‌സസ് നേടാനുള്ള ഒരു ഓപ്ഷനായി ഉപയോഗിക്കാം.

വിട്ടുവീഴ്ച ചെയ്ത പാക്കേജുകൾ:

• acmephp/acmephp (പാക്കേജിന്റെ മുഴുവൻ ജീവിതത്തിനും 124,860 ഇൻസ്റ്റാളേഷനുകൾ)
• acmephp/core (419,258)
• acmephp/ssl (531,692)
• ഡോക്ട്രിൻ/ഡോക്ട്രിൻ-കാഷെ-ബണ്ടിൽ (73,490,057)
• ഡോക്ട്രിൻ/ഡോക്ട്രിൻ-മൊഡ്യൂൾ (5,516,721)
• ഡോക്ട്രിൻ/ഡോക്ട്രിൻ-മോംഗോ-ഒഡിഎം-മൊഡ്യൂൾ (516,441)
• ഡോക്ട്രിൻ/ഡോക്ട്രിൻ-ഓം-മൊഡ്യൂൾ (5,103,306)
• സിദ്ധാന്തം/ഇൻസ്റ്റാന്റിയേറ്റർ (526,809,061)
• ഗ്രോത്ത്ബുക്ക്/ഗ്രോത്ത്ബുക്ക് (97,568
• jdorn/file-system-cache (32,660)
• jdorn/sql-formatter (94,593,846)
• ഖനാമിര്യൻ/ക്യുആർകോഡ്-ഡിറ്റക്ടർ-ഡീകോഡർ (20,421,500)
• ഒബ്‌ജക്റ്റ്-കാലിസ്‌തെനിക്‌സ്/പിഎച്ച്പിസി-കാലിസ്‌തെനിക്‌സ് നിയമങ്ങൾ (2,196,380)
• tga/simhash-php, tgalopin/simhashphp (30,555)

അവലംബം: opennet.ru