RubyGems मध्ये 724 दुर्भावनापूर्ण पॅकेज आढळले

रिव्हर्सिंग लॅब्स कंपनी प्रकाशित अनुप्रयोग विश्लेषण परिणाम typequatting RubyGems भांडारात. सामान्यत:, टायपोस्क्वाटिंगचा वापर दुर्भावनापूर्ण पॅकेजेस वितरित करण्यासाठी केला जातो ज्यामुळे लक्ष न देणाऱ्या विकसकाने टायपो करणे किंवा शोधताना फरक लक्षात येऊ नये म्हणून डिझाइन केलेले आहे. या अभ्यासात लोकप्रिय पॅकेजेस सारखीच नावे असलेली पण किरकोळ तपशिलांमध्ये भिन्न असलेली 700 पेक्षा जास्त पॅकेजेस ओळखली गेली, जसे की समान अक्षरे बदलणे किंवा डॅशऐवजी अंडरस्कोअर वापरणे.

400 हून अधिक पॅकेजेसमध्ये दुर्भावनापूर्ण क्रियाकलाप करत असल्याचा संशय असलेले घटक आढळले. विशेषतः, आतील फाइल aaa.png होती, ज्यामध्ये पीई फॉरमॅटमध्ये एक्झिक्युटेबल कोड समाविष्ट होता. ही पॅकेजेस दोन खात्यांशी संबंधित होती ज्याद्वारे 16 फेब्रुवारी ते 25 फेब्रुवारी 2020 पर्यंत रुबीजेम्स पोस्ट करण्यात आले होते. 724 दुर्भावनापूर्ण पॅकेजेस, जे एकूण सुमारे 95 हजार वेळा डाउनलोड केले गेले. संशोधकांनी RubyGems प्रशासनाला माहिती दिली आणि ओळखले गेलेले दुर्भावनापूर्ण पॅकेजेस आधीच भांडारातून काढून टाकले गेले आहेत.

ओळखल्या गेलेल्या समस्याग्रस्त पॅकेजेसपैकी, सर्वात लोकप्रिय "एटलस-क्लायंट" होते, जे पहिल्या दृष्टीक्षेपात कायदेशीर पॅकेजपासून व्यावहारिकदृष्ट्या वेगळे करता येत नाही.atlas_client" निर्दिष्ट पॅकेज 2100 वेळा डाउनलोड केले गेले (सामान्य पॅकेज 6496 वेळा डाउनलोड केले गेले, म्हणजे जवळजवळ 25% प्रकरणांमध्ये वापरकर्ते चुकीचे होते). उर्वरित पॅकेजेस सरासरी 100-150 वेळा डाउनलोड केली गेली आणि अंडरस्कोअर आणि डॅश बदलण्याच्या समान तंत्राचा वापर करून इतर पॅकेजेसप्रमाणे छद्म केले गेले (उदाहरणार्थ, दुर्भावनापूर्ण पॅकेजेस: appium-lib, action-mailer_cache_delivery, activemodel_validators, asciidoctor_bibliography, assets-pipeline, apress_validators, ar_octopus-replication-tracking, aliyun-open_search, aliyun-mns, ab_split, apns-polite).

दुर्भावनापूर्ण पॅकेजेसमध्ये PNG फाइल समाविष्ट आहे ज्यामध्ये प्रतिमेऐवजी Windows प्लॅटफॉर्मसाठी एक एक्झिक्यूटेबल फाइल आहे. फाइल Ocra Ruby2Exe युटिलिटी वापरून व्युत्पन्न केली गेली आणि त्यात रुबी स्क्रिप्ट आणि रुबी इंटरप्रिटरसह सेल्फ-एक्सट्रॅक्टिंग आर्काइव्हचा समावेश आहे. पॅकेज स्थापित करताना, png फाइलचे नाव बदलून exe केले गेले आणि लॉन्च केले गेले. अंमलबजावणी दरम्यान, VBScript फाइल तयार केली गेली आणि ऑटोरनमध्ये जोडली गेली. लूपमध्ये निर्दिष्ट दुर्भावनापूर्ण VBScript ने क्रिप्टो वॉलेट पत्त्यांची आठवण करून देणाऱ्या माहितीच्या उपस्थितीसाठी क्लिपबोर्डच्या सामग्रीचे विश्लेषण केले आणि आढळल्यास, वापरकर्त्याला फरक लक्षात येणार नाही आणि चुकीच्या वॉलेटमध्ये निधी हस्तांतरित होणार नाही या अपेक्षेने वॉलेट नंबर बदलला. .

अभ्यासात असे दिसून आले आहे की दुर्भावनापूर्ण पॅकेजेस सर्वात लोकप्रिय रिपॉजिटरीमध्ये जोडणे कठीण नाही आणि हे पॅकेजेस मोठ्या संख्येने डाउनलोड असूनही शोधले जाऊ शकतात. हे लक्षात घेतले पाहिजे की समस्या नाही विशिष्ट ते RubyGems आणि इतर लोकप्रिय भांडार कव्हर. उदाहरणार्थ, गेल्या वर्षी समान संशोधक ओळखले NPM रेपॉजिटरीमध्ये bb-builder नावाचे एक दुर्भावनापूर्ण पॅकेज आहे, जे पासवर्ड चोरण्यासाठी एक्झिक्युटेबल फाइल लाँच करण्याच्या समान तंत्राचा वापर करते. या आधी एक मागचा दरवाजा होता आढळले इव्हेंट-स्ट्रीम NPM पॅकेजवर अवलंबून, दुर्भावनायुक्त कोड सुमारे 8 दशलक्ष वेळा डाउनलोड केला गेला. दुर्भावनायुक्त पॅकेजेस देखील वेळोवेळी पॉप अप PyPI भांडारात.

स्त्रोत: opennet.ru