UAParser.js NPM पॅकेज, ज्यात दर आठवड्याला 8 दशलक्ष डाउनलोड होतात, ते मालवेअरने इंजेक्ट केलेले आहे.

UAParser.js लायब्ररीचा कोड कॉपी करणार्‍या तीन दुर्भावनापूर्ण पॅकेजेसच्या NPM रेपॉजिटरीमधून काढण्याची कहाणी अनपेक्षितपणे चालू राहिली - अज्ञात हल्लेखोरांनी UAParser.js प्रकल्पाच्या लेखकाच्या खात्यावर ताबा मिळवला आणि कोड असलेली अद्यतने जारी केली. पासवर्ड चोरणे आणि क्रिप्टोकरन्सी खाण करणे.

समस्या अशी आहे की UAParser.js लायब्ररी, जे वापरकर्ता-एजंट HTTP शीर्षलेख पार्स करण्यासाठी कार्ये देते, दर आठवड्याला सुमारे 8 दशलक्ष डाउनलोड आहेत आणि 1200 हून अधिक प्रकल्पांमध्ये अवलंबित्व म्हणून वापरले जाते. मायक्रोसॉफ्ट, अॅमेझॉन, फेसबुक, स्लॅक, डिस्कॉर्ड, मोझिला, ऍपल, प्रोटॉनमेल, ऑटोडेस्क, रेडिट, विमियो, उबेर, डेल, आयबीएम, सीमेन्स, ओरॅकल, एचपी आणि व्हेरिसन यासारख्या कंपन्यांच्या प्रकल्पांमध्ये UAParser.js वापरला जातो असे नमूद केले आहे. .

हा हल्ला प्रोजेक्ट डेव्हलपरच्या खात्याच्या हॅकिंगद्वारे करण्यात आला, ज्याला त्याच्या मेलबॉक्समध्ये स्पॅमची असामान्य लहर आल्यावर काहीतरी चुकीचे असल्याचे जाणवले. डेव्हलपरचे खाते नेमके कसे हॅक झाले याची माहिती दिलेली नाही. हल्लेखोरांनी 0.7.29, 0.8.0 आणि 1.0.0 रिलीझ तयार केले, त्यात दुर्भावनापूर्ण कोडचा परिचय करून दिला. काही तासांत, विकासकांनी प्रकल्पावर पुन्हा नियंत्रण मिळवले आणि समस्येचे निराकरण करण्यासाठी 0.7.30, 0.8.1 आणि 1.0.1 अद्यतने तयार केली. दुर्भावनापूर्ण आवृत्त्या फक्त NPM रेपॉजिटरीमध्ये पॅकेज म्हणून प्रकाशित केल्या गेल्या. GitHub वरील प्रकल्पाच्या Git भांडारावर परिणाम झाला नाही. समस्याप्रधान आवृत्त्या इन्स्टॉल केलेल्या सर्व वापरकर्त्यांना, जर त्यांना Linux/macOS वर jsextension फाईल आणि Windows वर jsextension.exe आणि create.dll फायली आढळल्या तर, सिस्टीमशी तडजोड झाल्याचा विचार करण्याचा सल्ला दिला जातो.

जोडलेले दुर्भावनापूर्ण बदल हे UAParser.js च्या क्लोनमध्ये पूर्वी प्रस्तावित केलेल्या बदलांची आठवण करून देणारे होते, जे मुख्य प्रकल्पावर मोठ्या प्रमाणावर हल्ला करण्यापूर्वी कार्यक्षमतेची चाचणी घेण्यासाठी सोडले गेले होते. jsextension एक्झिक्युटेबल फाइल डाउनलोड केली गेली आणि बाह्य होस्टवरून वापरकर्त्याच्या सिस्टमवर लाँच केली गेली, जी वापरकर्त्याच्या प्लॅटफॉर्मवर अवलंबून निवडली गेली आणि Linux, macOS आणि Windows वर समर्थित कार्य. विंडोज प्लॅटफॉर्मसाठी, मोनेरो क्रिप्टोकरन्सी (XMRig मायनर वापरण्यात आले होते) खनन करण्याच्या कार्यक्रमाव्यतिरिक्त, आक्रमणकर्त्यांनी पासवर्ड रोखण्यासाठी आणि बाह्य होस्टला पाठवण्यासाठी create.dll लायब्ररीचा परिचय देखील आयोजित केला.

डाउनलोड कोड preinstall.sh फाइलमध्ये जोडला गेला होता, ज्यामध्ये घाला IP=$(curl -k https://freegeoip.app/xml/ | grep 'RU|UA|BY|KZ') जर [ -z " $ IP" ] ... डाउनलोड करा आणि एक्झिक्युटेबल फाइल चालवा

कोडवरून पाहिल्याप्रमाणे, स्क्रिप्टने प्रथम freegeoip.app सेवेमध्ये IP पत्ता तपासला आणि रशिया, युक्रेन, बेलारूस आणि कझाकस्तानमधील वापरकर्त्यांसाठी दुर्भावनापूर्ण अनुप्रयोग लॉन्च केला नाही.

स्त्रोत: opennet.ru