ആഴ്ചയിൽ 8 ദശലക്ഷം ഡൗൺലോഡുകളുള്ള UAParser.js NPM പാക്കേജിൽ ക്ഷുദ്രവെയർ കുത്തിവച്ചിരിക്കുന്നു.

UAParser.js ലൈബ്രറിയുടെ കോഡ് പകർത്തിയ മൂന്ന് ക്ഷുദ്ര പാക്കേജുകളുടെ NPM ശേഖരത്തിൽ നിന്ന് നീക്കം ചെയ്തതിന്റെ കഥയ്ക്ക് അപ്രതീക്ഷിതമായ ഒരു തുടർച്ച ലഭിച്ചു - UAParser.js പ്രോജക്റ്റിന്റെ രചയിതാവിന്റെ അക്കൗണ്ടിന്റെ നിയന്ത്രണം അജ്ഞാത ആക്രമണകാരികൾ പിടിച്ചെടുത്തു, അതിനുള്ള കോഡ് അടങ്ങിയ അപ്‌ഡേറ്റുകൾ പുറത്തിറക്കി. പാസ്‌വേഡുകൾ മോഷ്ടിക്കുകയും ക്രിപ്‌റ്റോകറൻസികൾ ഖനനം ചെയ്യുകയും ചെയ്യുന്നു.

ഉപയോക്തൃ-ഏജന്റ് എച്ച്ടിടിപി തലക്കെട്ട് പാഴ്‌സുചെയ്യുന്നതിനുള്ള പ്രവർത്തനങ്ങൾ വാഗ്ദാനം ചെയ്യുന്ന UAParser.js ലൈബ്രറിക്ക് പ്രതിവാരം 8 ദശലക്ഷം ഡൗൺലോഡുകൾ ഉണ്ട്, കൂടാതെ 1200-ലധികം പ്രോജക്റ്റുകളിൽ ഇത് ഒരു ഡിപൻഡൻസിയായി ഉപയോഗിക്കുന്നു എന്നതാണ് പ്രശ്‌നം. Microsoft, Amazon, Facebook, Slack, Discord, Mozilla, Apple, ProtonMail, Autodesk, Reddit, Vimeo, Uber, Dell, IBM, Siemens, Oracle, HP, Verison തുടങ്ങിയ കമ്പനികളുടെ പ്രൊജക്‌റ്റുകളിൽ UAParser.js ഉപയോഗിക്കുന്നതായി പ്രസ്‌താവിക്കുന്നു. .

മെയിൽബോക്സിൽ അസാധാരണമായ സ്പാം തരംഗങ്ങൾ വീണതിനെത്തുടർന്ന് എന്തോ കുഴപ്പമുണ്ടെന്ന് മനസ്സിലാക്കിയ പ്രോജക്ട് ഡെവലപ്പറുടെ അക്കൗണ്ട് ഹാക്ക് ചെയ്താണ് ആക്രമണം നടത്തിയത്. ഡെവലപ്പറുടെ അക്കൗണ്ട് എങ്ങനെയാണ് ഹാക്ക് ചെയ്യപ്പെട്ടതെന്ന് കൃത്യമായി റിപ്പോർട്ട് ചെയ്തിട്ടില്ല. ആക്രമണകാരികൾ 0.7.29, 0.8.0, 1.0.0 എന്നിവയുടെ റിലീസുകൾ സൃഷ്ടിച്ചു, അവയിൽ ക്ഷുദ്ര കോഡ് അവതരിപ്പിച്ചു. ഏതാനും മണിക്കൂറുകൾക്കുള്ളിൽ, ഡവലപ്പർമാർ പ്രോജക്റ്റിന്റെ നിയന്ത്രണം വീണ്ടെടുക്കുകയും പ്രശ്നം പരിഹരിക്കുന്നതിനായി 0.7.30, 0.8.1, 1.0.1 അപ്ഡേറ്റുകൾ സൃഷ്ടിക്കുകയും ചെയ്തു. ക്ഷുദ്രകരമായ പതിപ്പുകൾ NPM റിപ്പോസിറ്ററിയിൽ പാക്കേജുകളായി മാത്രം പ്രസിദ്ധീകരിച്ചു. GitHub-ലെ പ്രോജക്റ്റിന്റെ Git ശേഖരണത്തെ ബാധിച്ചില്ല. പ്രശ്നമുള്ള പതിപ്പുകൾ ഇൻസ്റ്റാൾ ചെയ്തിട്ടുള്ള എല്ലാ ഉപയോക്താക്കളും, Linux/macOS-ൽ jsextension ഫയലും Windows-ൽ jsextension.exe, create.dll ഫയലുകളും കണ്ടെത്തിയാൽ, സിസ്റ്റം വിട്ടുവീഴ്ച ചെയ്തതായി പരിഗണിക്കാൻ നിർദ്ദേശിക്കുന്നു.

ക്ഷുദ്രകരമായ മാറ്റങ്ങൾ UAParser.js-ന്റെ ക്ലോണുകളിൽ മുമ്പ് നിർദ്ദേശിച്ച മാറ്റങ്ങളെ അനുസ്മരിപ്പിക്കുന്നതാണ്, പ്രധാന പ്രോജക്റ്റിന്മേൽ വലിയ തോതിലുള്ള ആക്രമണം ആരംഭിക്കുന്നതിന് മുമ്പ് പ്രവർത്തനം പരിശോധിക്കുന്നതിനായി റിലീസ് ചെയ്തതായി തോന്നുന്നു. jsextension എക്സിക്യൂട്ടബിൾ ഫയൽ ഒരു ബാഹ്യ ഹോസ്റ്റിൽ നിന്ന് ഉപയോക്താവിന്റെ സിസ്റ്റത്തിലേക്ക് ഡൗൺലോഡ് ചെയ്‌ത് സമാരംഭിച്ചു, അത് ഉപയോക്താവിന്റെ പ്ലാറ്റ്‌ഫോമും Linux, macOS, Windows എന്നിവയിലെ പിന്തുണയുള്ള പ്രവർത്തനവും അനുസരിച്ച് തിരഞ്ഞെടുത്തു. വിൻഡോസ് പ്ലാറ്റ്‌ഫോമിനായി, Monero ക്രിപ്‌റ്റോകറൻസി (XMRig മൈനർ ഉപയോഗിച്ചു) ഖനനം ചെയ്യുന്നതിനുള്ള പ്രോഗ്രാമിന് പുറമേ, പാസ്‌വേഡുകൾ തടസ്സപ്പെടുത്തുന്നതിനും ഒരു ബാഹ്യ ഹോസ്റ്റിലേക്ക് അയയ്ക്കുന്നതിനും ആക്രമണകാരികൾ create.dll ലൈബ്രറിയുടെ ആമുഖവും സംഘടിപ്പിച്ചു.

ഡൗൺലോഡ് കോഡ് preinstall.sh ഫയലിലേക്ക് ചേർത്തു, അതിൽ [ -z " എങ്കിൽ IP=$(curl -k https://freegeoip.app/xml/ | grep 'RU|UA|BY|KZ') ചേർക്കുക $ IP" ] ... എക്സിക്യൂട്ടബിൾ ഫയൽ ഡൗൺലോഡ് ചെയ്ത് പ്രവർത്തിപ്പിക്കുക

കോഡിൽ നിന്ന് കാണാൻ കഴിയുന്നതുപോലെ, സ്ക്രിപ്റ്റ് ആദ്യം freegeoip.app സേവനത്തിലെ IP വിലാസം പരിശോധിച്ചു കൂടാതെ റഷ്യ, ഉക്രെയ്ൻ, ബെലാറസ്, കസാക്കിസ്ഥാൻ എന്നിവിടങ്ങളിൽ നിന്നുള്ള ഉപയോക്താക്കൾക്കായി ഒരു ക്ഷുദ്ര ആപ്ലിക്കേഷൻ സമാരംഭിച്ചില്ല.

അവലംബം: opennet.ru