NPM पॅकेजेसद्वारे जर्मन कंपन्यांवर हल्ला

बर्टेल्समन, बॉश, स्टिहल आणि डीबी शेन्कर या जर्मन कंपन्यांवर लक्ष्यित हल्ल्यांसाठी तयार केलेल्या दुर्भावनापूर्ण NPM पॅकेजची नवीन बॅच उघड झाली आहे. हल्ला अवलंबित्व मिक्सिंग पद्धतीचा वापर करतो, जे सार्वजनिक आणि अंतर्गत रेपॉजिटरीजमधील अवलंबित्व नावांचे छेदनबिंदू हाताळते. सार्वजनिकरित्या उपलब्ध असलेल्या ऍप्लिकेशन्समध्ये, आक्रमणकर्त्यांना कॉर्पोरेट रिपॉझिटरीजमधून डाउनलोड केलेल्या अंतर्गत NPM पॅकेजेसच्या प्रवेशाचे ट्रेस सापडतात आणि नंतर सार्वजनिक NPM भांडारात समान नाव आणि नवीन आवृत्ती क्रमांक असलेली पॅकेजेस ठेवतात. असेंबली दरम्यान जर अंतर्गत लायब्ररी सेटिंग्जमध्ये त्यांच्या रेपॉजिटरीशी स्पष्टपणे जोडल्या गेल्या नसतील, तर npm पॅकेज व्यवस्थापक सार्वजनिक भांडारांना उच्च प्राधान्य मानतो आणि आक्रमणकर्त्याने तयार केलेले पॅकेज डाउनलोड करतो.

अंतर्गत पॅकेजेसची फसवणूक करण्याच्या पूर्वीच्या दस्तऐवजीकरण केलेल्या प्रयत्नांच्या विपरीत, सामान्यत: मोठ्या कंपन्यांच्या उत्पादनांमधील भेद्यता ओळखण्यासाठी बक्षिसे मिळविण्यासाठी सुरक्षा संशोधकांद्वारे केले जाते, आढळलेल्या पॅकेजमध्ये चाचणीबद्दल सूचना नसतात आणि अस्पष्ट कार्य करणारे दुर्भावनापूर्ण कोड समाविष्ट करतात जे डाउनलोड करतात आणि चालवतात. प्रभावित प्रणालीच्या रिमोट कंट्रोलसाठी मागील दरवाजा.

हल्ल्यात सामील असलेल्या पॅकेजेसची सर्वसाधारण यादी नोंदवली जात नाही; उदाहरण म्हणून, फक्त gxm-reference-web-auth-server, ldtzstxwzpntxqn आणि lznfjbhurpjsqmr या पॅकेजेसचा उल्लेख केला आहे, जे नवीन आवृत्तीसह NPM रेपॉजिटरीमध्ये boschnodemodules खात्याखाली पोस्ट केले गेले होते. मूळ अंतर्गत पॅकेजेसपेक्षा 0.5.70 आणि 4.0.49. 4 संख्या. हल्लेखोरांनी खुल्या रेपॉजिटरीजमध्ये उल्लेख नसलेल्या अंतर्गत लायब्ररींची नावे आणि आवृत्त्या शोधण्यात कसे व्यवस्थापित केले हे अद्याप स्पष्ट झालेले नाही. अंतर्गत माहिती लीक झाल्यामुळे ही माहिती मिळाल्याचे मानले जात आहे. नवीन पॅकेजेसच्या प्रकाशनावर लक्ष ठेवणाऱ्या संशोधकांनी NPM प्रशासनाला कळवले की दुर्भावनापूर्ण पॅकेज प्रकाशित झाल्यानंतर XNUMX तासांनी ओळखले गेले.

अपडेट: कोड व्हाईटने म्हटले आहे की ग्राहकांच्या पायाभूत सुविधांवर हल्ला करण्याच्या समन्वित अनुकरणाचा भाग म्हणून हा हल्ला त्याच्या कर्मचाऱ्याने केला होता. प्रयोगादरम्यान, लागू केलेल्या सुरक्षा उपायांच्या प्रभावीतेची चाचणी घेण्यासाठी वास्तविक हल्लेखोरांच्या कृतींचे अनुकरण केले गेले.

स्त्रोत: opennet.ru