लेजर NPM रेपॉजिटरीच्या तडजोडीमुळे दुर्भावनापूर्ण बदल समाविष्ट झाले

लेजर कंपनी, जी त्याच नावाचे हार्डवेअर क्रिप्टो वॉलेट तयार करते, तिच्या NPM रेपॉजिटरीशी झालेल्या तडजोडीबद्दल माहिती उघड केली आहे, ज्यामुळे लेजर कनेक्ट किट JavaScript लायब्ररीमध्ये दुर्भावनापूर्ण कोडचा वापर केला गेला, ज्याचा वापर विकेंद्रित वेब ऍप्लिकेशन्समध्ये प्रवेश प्रदान करण्यासाठी केला जातो. क्रिप्टो वॉलेट. हल्लेखोरांनी कनेक्ट किटच्या काल्पनिक आवृत्त्या रिलीझ करण्यात व्यवस्थापित केले, ज्यामध्ये कोड एम्बेड केलेला होता ज्याने पीडिताच्या क्रिप्टो वॉलेटमधून निधी हस्तांतरित करण्यासाठी फसवे व्यवहार केले.

दुर्भावनायुक्त कोड कनेक्ट किट आवृत्त्या 1.1.5, 1.1.6 आणि 1.1.7 मध्ये वितरित केला गेला होता आणि कायदेशीर अपडेट 1.1.8 मध्ये काढला गेला होता. NPM रेपॉजिटरीमध्ये प्रवेश हल्लेखोरांनी फिशिंग हल्ल्यादरम्यान मिळवला होता, ज्याचा परिणाम म्हणून ते माजी लेजर कर्मचार्‍यांपैकी एकाचे खाते मापदंड निर्धारित करण्यात सक्षम होते. हल्ल्याच्या यशासाठी उद्धृत केलेल्या कारणांमध्ये द्वि-घटक प्रमाणीकरण न करता प्रकाशन प्रकाशित करण्याची क्षमता, काढून टाकलेल्या कर्मचाऱ्याला प्रवेश अधिकार सोडणे आणि लायब्ररीच्या विशिष्ट सत्यापित आवृत्तीमध्ये लॉक करण्याची परवानगी न देणारे सामग्री वितरण नेटवर्क वापरणे समाविष्ट आहे (अनुप्रयोग नेहमी नवीनतम आवृत्ती वापरली).

तडजोड शोधून काढण्याआधी आणि दुर्भावनापूर्ण कोड काढून टाकण्याआधी, बनावट लायब्ररी प्रकाशन 5 तासांसाठी डाउनलोडसाठी उपलब्ध होते, परंतु लेजरच्या मते, मागे घेण्याच्या हल्ल्याची वास्तविक वेळ दोन तासांच्या अंतरापर्यंत मर्यादित होती. पीडिताच्या वॉलेटमध्ये निधी पुनर्निर्देशित करण्यासाठी, हल्ल्यात वॉलेटकनेक्ट सेवेमधील बनावट प्रकल्पाचा समावेश होता, जो सध्या अवरोधित आहे. स्वतंत्र संशोधक ZachXBT च्या मते, हल्ल्यादरम्यान हल्लेखोरांनी पीडितांच्या क्रिप्टो वॉलेटमधून किमान $610 हजार चोरण्यात यश मिळवले. Revoke.cash सेवेनुसार, कनेक्ट किट वापरणाऱ्या विविध साइट्सच्या वापरकर्त्यांचे नुकसान 850 हजार डॉलर्सपेक्षा जास्त आहे.

लेजर कनेक्ट किट लायब्ररी वापरणाऱ्या तृतीय-पक्ष विकेंद्रित वेब अॅप्लिकेशन्स (DApps) च्या वापरकर्त्यांवर या समस्येचा परिणाम झाला आणि लेजर हार्डवेअर वॉलेट्स किंवा लेजर लाइव्ह अॅप्लिकेशनच्या अखंडतेवर परिणाम झाला नाही. तडजोड करणार्‍या विकसकांद्वारे अशा हल्ल्यांची शक्यता कमी करण्यासाठी, NPM मधील कनेक्ट किट प्रकल्पातील सहभागींची खाती केवळ-वाचनीय मोडवर स्विच केली गेली आणि हॉटेल विकसकांद्वारे NPM पॅकेजचे थेट पोस्टिंग प्रतिबंधित केले गेले. GitHub रेपॉजिटरीमध्ये प्रकाशित करण्यासाठी सर्व की देखील अद्यतनित केल्या गेल्या आहेत.

स्त्रोत: opennet.ru