NPM मा १५,००० फिसिङ र स्पाम प्याकेजहरू फेला परे

NPM निर्देशिका प्रयोगकर्ताहरूमाथि आक्रमण भएको पत्ता लाग्यो। फेब्रुअरी २० मा, NPM भण्डारमा १५,००० भन्दा बढी प्याकेजहरू थपिए। तिनीहरूको README फाइलहरूमा फिसिङ साइटहरूको लिङ्कहरू वा रोयल्टी उत्पन्न गर्ने रेफरल लिङ्कहरू थिए। प्याकेजहरूको विश्लेषणले ३१ डोमेनहरू फैलाएर १९० अद्वितीय फिसिङ वा विज्ञापन लिङ्कहरू पत्ता लगायो।

प्याकेज नामहरू आम जनताको ध्यान आकर्षित गर्न छनोट गरिएको थियो, उदाहरणका लागि, "free-tiktok-followers," "free-xbox-codes," "instagram-followers-free," आदि। NPM होमपेजमा हालैका अपडेटहरूको सूचीलाई स्प्याम प्याकेजहरूले भर्ने उद्देश्य थियो। प्याकेज विवरणहरूमा नि:शुल्क उपहार, उपहार, खेल चिटहरू, र टिकटक र इन्स्टाग्राम जस्ता सामाजिक सञ्जाल प्लेटफर्महरूमा फलोअरहरू र लाइकहरू बढाउनको लागि नि:शुल्क सेवाहरूको वाचा गर्ने लिङ्कहरू समावेश थिए। यो पहिलो यस्तो आक्रमण होइन; डिसेम्बरमा, NuGet, NPM, र PyPi मा १४४,००० स्प्याम प्याकेजहरू प्रकाशित भएका थिए।

प्याकेज सामग्रीहरू स्वचालित रूपमा पाइथन स्क्रिप्ट प्रयोग गरेर उत्पन्न गरिएको थियो, स्पष्ट रूपमा अनजानमा प्याकेजहरूमा छोडिएको थियो, र आक्रमणको समयमा प्रयोग गरिएका प्रमाणहरू समावेश गरिएको थियो। समस्याग्रस्त प्याकेजहरू ट्रेस गर्न र द्रुत रूपमा पहिचान गर्न गाह्रो बनाउने प्रविधिहरू प्रयोग गरेर प्याकेजहरू धेरै फरक खाताहरू अन्तर्गत प्रकाशित गरिएको थियो।

जालसाजीपूर्ण गतिविधिको अतिरिक्त, NPM र PyPi भण्डारहरूमा दुर्भावनापूर्ण प्याकेजहरू प्रकाशित गर्ने धेरै प्रयासहरू पनि पत्ता लागेका छन्:

• PyPI भण्डारमा ४५१ दुर्भावनापूर्ण प्याकेजहरू फेला परे जसले टाइपोस्क्वाटिंग प्रयोग गरेर आफूलाई लोकप्रिय पुस्तकालयहरूको रूपमा भेषमा राखेका थिए (भिन्न क्यारेक्टरहरूसँग समान नामहरू तोक्दै, जस्तै vyper को सट्टा vper, bitcoinlib को सट्टा bitcoinnlib, cryptofeed को सट्टा ccryptofeed, ccxt को सट्टा ccxtt, cryptocompare को सट्टा cryptocommpare, seleum को सट्टा seleium, pyinstaller को सट्टा pinstaller, आदि)। प्याकेजहरूमा अस्पष्ट क्रिप्टोकरेन्सी-चोरी कोड समावेश थियो जसले क्लिपबोर्डमा क्रिप्टो वालेट ID हरू पत्ता लगायो र तिनीहरूलाई आक्रमणकारीको वालेटले प्रतिस्थापन गर्‍यो (विचार यो हो कि पीडितले भुक्तानी गर्दा क्लिपबोर्डबाट प्रतिलिपि गरिएको फरक वालेट नम्बर याद गर्दैन)। प्रतिस्थापन ब्राउजर एड-अन द्वारा गरिएको थियो जुन हेरिएको प्रत्येक वेब पृष्ठको सन्दर्भमा चल्थ्यो।
• PyPI भण्डारमा दुर्भावनापूर्ण HTTP पुस्तकालयहरूको श्रृंखला पत्ता लाग्यो। ४१ प्याकेजहरूमा दुर्भावनापूर्ण गतिविधि फेला पर्यो, जसका नामहरू टाइपोस्क्वाटिंग प्रविधिहरू प्रयोग गरेर छनोट गरिएका थिए र लोकप्रिय पुस्तकालयहरू (aio5, request, ulrlib, urllb, libhttps, piphttps, httpxv2, आदि) जस्तै थिए। पेलोडहरू काम गर्ने HTTP पुस्तकालयहरू जस्तै शैलीबद्ध गरिएका थिए वा अवस्थित पुस्तकालयहरूको कोड प्रतिलिपि गरिएको थियो, र विवरणहरूमा तिनीहरूका फाइदाहरू र वैध HTTP पुस्तकालयहरूसँग तुलनाहरूको बारेमा दावीहरू थिए। दुर्भावनापूर्ण गतिविधिमा प्रणालीमा मालवेयर डाउनलोड गर्ने वा गोप्य डेटा सङ्कलन गर्ने र पठाउने समावेश थियो।
• NPM मा १६ वटा जाभास्क्रिप्ट प्याकेजहरू (speedte*, trova*, lagra) रहेको पाइयो, जसमा तिनीहरूको उल्लेख गरिएको कार्यक्षमता (ब्यान्डविथ परीक्षण) को अतिरिक्त, प्रयोगकर्ताको जानकारी बिना क्रिप्टोकरेन्सी माइनिङको लागि कोड पनि समावेश थियो।
• NPM मा ६९१ वटा दुर्भावनापूर्ण प्याकेजहरू पत्ता लागे। धेरैजसो समस्याग्रस्त प्याकेजहरूले Yandex परियोजनाहरू (yandex-logger-sentry, yandex-logger-qloud, yandex-sendsms, आदि) को प्रतिरूपण गरेका थिए र बाह्य सर्भरहरूमा गोप्य जानकारी पठाउने कोड समावेश गरेका थिए। सर्भरहरूयो विश्वास गरिन्छ कि प्याकेजहरू पोस्ट गर्नेहरूले Yandex (आन्तरिक निर्भरताहरू प्रतिस्थापन गर्ने विधि) मा परियोजनाहरू निर्माण गर्दा आफ्नै निर्भरताहरू प्रतिस्थापन गर्ने प्रयास गरिरहेका थिए। PyPI भण्डारमा, उही अनुसन्धानकर्ताहरूले ४९ प्याकेजहरू (reqsystem, httpxfaster, aio6, gorilla2, httpsos, pohttp, आदि) फेला पारे जसमा अस्पष्ट दुर्भावनापूर्ण कोड थियो जसले बाह्य सर्भरबाट कार्यान्वयनयोग्य फाइल डाउनलोड र चलाउँछ। सर्भर.

स्रोत: opennet.ru