NPM 15 ഫിഷിംഗ്, സ്പാം പാക്കേജുകൾ തിരിച്ചറിഞ്ഞു

NPM ഡയറക്ടറിയുടെ ഉപയോക്താക്കൾക്കെതിരെ ഒരു ആക്രമണം രേഖപ്പെടുത്തി, അതിൻ്റെ ഫലമായി ഫെബ്രുവരി 20-ന് 15-ത്തിലധികം പാക്കേജുകൾ NPM ശേഖരണത്തിൽ പോസ്റ്റുചെയ്‌തു, README ഫയലുകളിൽ ഫിഷിംഗ് സൈറ്റുകളിലേക്കുള്ള ലിങ്കുകളോ റോയൽറ്റിയുള്ള ക്ലിക്കുകൾക്കുള്ള റഫറൽ ലിങ്കുകളോ അടങ്ങിയിരിക്കുന്നു. നൽകപ്പെടുന്നു. വിശകലനത്തിനിടെ, 190 ഡൊമെയ്‌നുകൾ ഉൾക്കൊള്ളുന്ന പാക്കേജുകളിൽ 31 അദ്വിതീയ ഫിഷിംഗ് അല്ലെങ്കിൽ പരസ്യ ലിങ്കുകൾ തിരിച്ചറിഞ്ഞു.

സാധാരണക്കാരുടെ താൽപ്പര്യം ആകർഷിക്കുന്നതിനാണ് പാക്കേജുകളുടെ പേരുകൾ തിരഞ്ഞെടുത്തത്, ഉദാഹരണത്തിന്, “സൗജന്യ-ടിക്‌ടോക്-ഫോളോവേഴ്‌സ്”, “ഫ്രീ-എക്സ്ബോക്സ്-കോഡുകൾ”, “ഇൻസ്റ്റാഗ്രാം-ഫോളോവേഴ്‌സ്-ഫ്രീ” മുതലായവ. NPM പ്രധാന പേജിലെ സമീപകാല അപ്‌ഡേറ്റുകളുടെ ലിസ്റ്റ് സ്പാം പാക്കേജുകൾ ഉപയോഗിച്ച് പൂരിപ്പിക്കുന്നതിനാണ് കണക്കുകൂട്ടൽ നടത്തിയത്. പാക്കേജുകളുടെ വിവരണങ്ങളിൽ സൗജന്യ സമ്മാനങ്ങൾ, സമ്മാനങ്ങൾ, ഗെയിം ചീറ്റുകൾ എന്നിവ വാഗ്ദാനം ചെയ്യുന്ന ലിങ്കുകളും TikTok, Instagram പോലുള്ള സോഷ്യൽ നെറ്റ്‌വർക്കുകളിൽ ഫോളോവേഴ്‌സും ലൈക്കുകളും വർദ്ധിപ്പിക്കുന്നതിനുള്ള സൗജന്യ സേവനങ്ങളും ഉൾപ്പെടുന്നു. ഡിസംബറിൽ ഇത്തരമൊരു ആക്രമണമല്ല, 144 സ്പാം പാക്കേജുകളുടെ പ്രസിദ്ധീകരണം NuGet, NPM, PyPi ഡയറക്‌ടറികളിൽ രേഖപ്പെടുത്തിയിട്ടുണ്ട്.

പാക്കേജുകളിൽ അശ്രദ്ധമായി അവശേഷിക്കുന്നതും ആക്രമണത്തിൽ ഉപയോഗിച്ച വർക്ക് ക്രെഡൻഷ്യലുകൾ ഉൾപ്പെടുന്നതുമായ ഒരു പൈത്തൺ സ്‌ക്രിപ്റ്റ് ഉപയോഗിച്ച് പാക്കേജുകളുടെ ഉള്ളടക്കങ്ങൾ സ്വയമേവ സൃഷ്‌ടിക്കപ്പെട്ടു. ട്രെയിലിൻ്റെ കുരുക്ക് അഴിക്കുന്നതിനും പ്രശ്‌നമുള്ള പാക്കേജുകൾ പെട്ടെന്ന് തിരിച്ചറിയുന്നതിനും ബുദ്ധിമുട്ടുള്ള സാങ്കേതിക വിദ്യകൾ ഉപയോഗിച്ച് വിവിധ അക്കൗണ്ടുകൾക്ക് കീഴിൽ പാക്കേജുകൾ പ്രസിദ്ധീകരിച്ചു.

വഞ്ചനാപരമായ പ്രവർത്തനങ്ങൾക്ക് പുറമേ, ക്ഷുദ്രകരമായ പാക്കേജുകൾ പ്രസിദ്ധീകരിക്കാനുള്ള നിരവധി ശ്രമങ്ങളും NPM, PyPi ശേഖരണങ്ങളിൽ കണ്ടെത്തി:

• PyPI റിപ്പോസിറ്ററിയിൽ 451 ക്ഷുദ്ര പാക്കേജുകൾ കണ്ടെത്തി, അത് ടൈപ്പ്‌ക്വാറ്റിംഗ് ഉപയോഗിച്ച് ചില ജനപ്രിയ ലൈബ്രറികളായി വേഷംമാറി (വ്യക്തിഗത പ്രതീകങ്ങളിൽ വ്യത്യാസമുള്ള സമാന പേരുകൾ നൽകുന്നു, ഉദാഹരണത്തിന്, vyper-ന് പകരം vper, bitcoinlib-ന് പകരം bitcoinnlib, cryptofeed-ന് പകരം ccryptofeed, ccxtt-ന് പകരം ccxt, cryptocompare-ന് പകരം cryptocompare, സെലിനിയത്തിന് പകരം seleium, pyinstaller-ന് പകരം pinstaller മുതലായവ). ക്രിപ്‌റ്റോകറൻസി മോഷ്ടിക്കുന്നതിനുള്ള അവ്യക്തമായ കോഡ് പാക്കേജുകളിൽ ഉൾപ്പെടുന്നു, അത് ക്ലിപ്പ്‌ബോർഡിൽ ക്രിപ്‌റ്റോ വാലറ്റ് ഐഡൻ്റിഫയറുകളുടെ സാന്നിധ്യം കണ്ടെത്തി ആക്രമണകാരിയുടെ വാലറ്റിലേക്ക് മാറ്റി (പേയ്‌മെൻ്റ് നടത്തുമ്പോൾ, ക്ലിപ്പ്ബോർഡിലൂടെ വാലറ്റ് നമ്പർ ട്രാൻസ്ഫർ ചെയ്യുന്നത് ഇര ശ്രദ്ധിക്കില്ലെന്ന് അനുമാനിക്കപ്പെടുന്നു. വ്യത്യസ്തമാണ്). ഒരു ബ്രൗസർ ആഡ്-ഓൺ ഉപയോഗിച്ചാണ് പകരം വയ്ക്കൽ നടത്തിയത്, ഓരോ വെബ് പേജിൻ്റെയും പശ്ചാത്തലത്തിൽ അത് നടപ്പിലാക്കി.
• PyPI റിപ്പോസിറ്ററിയിൽ ക്ഷുദ്രകരമായ HTTP ലൈബ്രറികളുടെ ഒരു പരമ്പര തിരിച്ചറിഞ്ഞു. 41 പാക്കേജുകളിൽ ക്ഷുദ്രകരമായ പ്രവർത്തനം കണ്ടെത്തി, അവയുടെ പേരുകൾ ടൈപ്പ് ക്വാട്ടിംഗ് രീതികൾ ഉപയോഗിച്ച് തിരഞ്ഞെടുത്തു, കൂടാതെ ജനപ്രിയ ലൈബ്രറികളോട് സാമ്യമുണ്ട് (aio5, requestst, ulrlib, urllb, libhttps, piphttps, httpxv2, മുതലായവ). പ്രവർത്തിക്കുന്ന HTTP ലൈബ്രറികളോട് സാമ്യമുള്ളതോ നിലവിലുള്ള ലൈബ്രറികളുടെ കോഡ് പകർത്തിയതോ ആയ രീതിയിലാണ് സ്റ്റഫിംഗ് രൂപകൽപ്പന ചെയ്തിരിക്കുന്നത്, കൂടാതെ നിയമാനുസൃതമായ HTTP ലൈബ്രറികളുമായുള്ള നേട്ടങ്ങളെയും താരതമ്യങ്ങളെയും കുറിച്ചുള്ള ക്ലെയിമുകൾ വിവരണത്തിൽ ഉൾപ്പെടുത്തിയിട്ടുണ്ട്. ക്ഷുദ്രകരമായ പ്രവർത്തനം ഒന്നുകിൽ സിസ്റ്റത്തിലേക്ക് ക്ഷുദ്രവെയർ ഡൗൺലോഡ് ചെയ്യുക അല്ലെങ്കിൽ സെൻസിറ്റീവ് ഡാറ്റ ശേഖരിക്കുകയും അയയ്ക്കുകയും ചെയ്യുന്നതാണ്.
• NPM 16 ജാവാസ്ക്രിപ്റ്റ് പാക്കേജുകൾ (സ്പീഡ്*, ട്രോവ*, ലാഗ്ര) തിരിച്ചറിഞ്ഞു, അതിൽ പ്രസ്താവിച്ച പ്രവർത്തനത്തിന് (ത്രൂപുട്ട് ടെസ്റ്റിംഗ്) പുറമേ, ഉപയോക്താവിൻ്റെ അറിവില്ലാതെ ക്രിപ്‌റ്റോകറൻസി ഖനനം ചെയ്യുന്നതിനുള്ള കോഡും അടങ്ങിയിരിക്കുന്നു.
• NPM-ൽ 691 ക്ഷുദ്ര പാക്കേജുകൾ കണ്ടെത്തി. പ്രശ്നമുള്ള പാക്കേജുകളിൽ ഭൂരിഭാഗവും Yandex പ്രോജക്റ്റുകൾ (yandex-logger-sentry, yandex-logger-qloud, yandex-sendsms, മുതലായവ) പോലെയായിരുന്നു, കൂടാതെ ബാഹ്യ സെർവറുകളിലേക്ക് രഹസ്യ വിവരങ്ങൾ അയയ്ക്കുന്നതിനുള്ള കോഡ് ഉൾപ്പെടുത്തിയിരുന്നു. സെർവറുകൾYandex-ൽ (ആന്തരിക ആശ്രിതത്വങ്ങൾ മാറ്റിസ്ഥാപിക്കുന്നതിനുള്ള ഒരു രീതി) പ്രോജക്ടുകൾ നിർമ്മിക്കുമ്പോൾ പാക്കേജുകൾ പോസ്റ്റ് ചെയ്തവർ സ്വന്തം ആശ്രിതത്വങ്ങൾ മാറ്റിസ്ഥാപിക്കാൻ ശ്രമിച്ചുവെന്ന് വിശ്വസിക്കപ്പെടുന്നു. PyPI ശേഖരത്തിൽ, ഒരു ബാഹ്യ സെർവറിൽ നിന്ന് എക്സിക്യൂട്ടബിൾ ഫയൽ ഡൗൺലോഡ് ചെയ്ത് പ്രവർത്തിപ്പിക്കുന്ന അവ്യക്തമായ മാലിഷ്യസ് കോഡ് അടങ്ങിയ 49 പാക്കേജുകൾ (reqsystem, httpxfaster, aio6, gorilla2, httpsos, pohttp, മുതലായവ) ഇതേ ഗവേഷകർ കണ്ടെത്തി. സെർവർ.

അവലംബം: opennet.ru