NPM प्याकेजहरू मार्फत जर्मन कम्पनीहरूमा आक्रमण

जर्मन कम्पनीहरू Bertelsmann, Bosch, Stihl र DB Schenker मा लक्षित आक्रमणहरूको लागि सिर्जना गरिएको मालिसियस NPM प्याकेजहरूको नयाँ ब्याच खुलासा गरिएको छ। आक्रमणले निर्भरता मिश्रण विधि प्रयोग गर्दछ, जसले सार्वजनिक र आन्तरिक भण्डारहरूमा निर्भरता नामहरूको प्रतिच्छेदनलाई हेरफेर गर्दछ। सार्वजनिक रूपमा उपलब्ध अनुप्रयोगहरूमा, आक्रमणकारीहरूले कर्पोरेट भण्डारहरूबाट डाउनलोड गरिएका आन्तरिक NPM प्याकेजहरूमा पहुँचको ट्रेसहरू फेला पार्छन्, र त्यसपछि सार्वजनिक NPM भण्डारमा उही नामहरू र नयाँ संस्करण नम्बरहरू भएका प्याकेजहरू राख्नुहोस्। यदि सम्मेलनको समयमा आन्तरिक पुस्तकालयहरू सेटिङहरूमा तिनीहरूको भण्डारसँग स्पष्ट रूपमा लिङ्क गरिएको छैन भने, npm प्याकेज प्रबन्धकले सार्वजनिक भण्डारलाई उच्च प्राथमिकताको रूपमा लिन्छ र आक्रमणकर्ताद्वारा तयार गरिएको प्याकेज डाउनलोड गर्दछ।

ठूला कम्पनीहरूका उत्पादनहरूमा कमजोरीहरू पहिचान गर्नका लागि पुरस्कारहरू प्राप्त गर्न सुरक्षा अनुसन्धानकर्ताहरूले सामान्यतया आन्तरिक प्याकेजहरू स्पूफ गर्ने पहिलेका दस्तावेज गरिएका प्रयासहरूको विपरीत, पत्ता लगाइएका प्याकेजहरूले परीक्षणको बारेमा सूचनाहरू समावेश गर्दैन र अस्पष्ट काम गर्ने मालिसियस कोड समावेश गर्दैन जुन डाउनलोड र चलाउँछ। प्रभावित प्रणालीको रिमोट कन्ट्रोलको लागि पछाडिको ढोका।

आक्रमणमा संलग्न प्याकेजहरूको सामान्य सूची रिपोर्ट गरिएको छैन; उदाहरणको रूपमा, केवल प्याकेजहरू gxm-reference-web-auth-server, ldtzstxwzpntxqn र lznfjbhurpjsqmr उल्लेख गरिएको छ, जुन नयाँ संस्करणको साथ NPM भण्डारमा boschnodemodules खाता अन्तर्गत पोस्ट गरिएको थियो। संख्याहरू 0.5.70 र 4.0.49. 4 मूल आन्तरिक प्याकेजहरू भन्दा। आक्रमणकारीहरूले खुला भण्डारहरूमा उल्लेख नगरिएका आन्तरिक पुस्तकालयहरूको नाम र संस्करणहरू कसरी पत्ता लगाउन सफल भए भन्ने कुरा अझै स्पष्ट छैन। आन्तरिक सूचना चुहावटका कारण यो जानकारी प्राप्त भएको मानिन्छ । नयाँ प्याकेजहरूको प्रकाशन अनुगमन गर्ने अन्वेषकहरूले NPM प्रशासनलाई रिपोर्ट गरे कि खराब प्याकेजहरू प्रकाशित भएको XNUMX घण्टा पछि पहिचान गरिएको थियो।

अपडेट: कोड ह्वाइटले भने कि आक्रमण ग्राहक पूर्वाधारमा आक्रमणको समन्वयित सिमुलेशनको भागको रूपमा यसको कर्मचारीद्वारा गरिएको थियो। प्रयोगको क्रममा, वास्तविक आक्रमणकारीहरूको कार्यहरू लागू गरिएका सुरक्षा उपायहरूको प्रभावकारिता परीक्षण गर्न सिमुलेट गरिएको थियो।

स्रोत: opennet.ru