RubyGems मा 724 मालिसियस प्याकेजहरू पत्ता लाग्यो

ReversingLabs कम्पनी प्रकाशित आवेदन विश्लेषण परिणाम टाइपक्वाटिंग RubyGems भण्डारमा। सामान्यतया, typosquatting एक बेवास्ता गर्ने विकासकर्तालाई टाइपो गर्न वा खोज गर्दा फरक याद नगर्नको लागि डिजाइन गरिएको खराब प्याकेजहरू वितरण गर्न प्रयोग गरिन्छ। अध्ययनले लोकप्रिय प्याकेजहरूसँग मिल्दोजुल्दो नामहरू भएका तर समान अक्षरहरू प्रतिस्थापन गर्ने वा ड्यासको सट्टा अन्डरस्कोरहरू प्रयोग गर्ने जस्ता सानो विवरणहरूमा फरक भएका 700 भन्दा बढी प्याकेजहरू पहिचान गर्‍यो।

400 भन्दा बढी प्याकेजहरूमा खराब गतिविधिहरू प्रदर्शन गरेको शंकास्पद घटकहरू फेला परेका थिए। विशेष गरी, भित्रको फाइल aaa.png थियो, जसमा PE ढाँचामा कार्यान्वयनयोग्य कोड समावेश थियो। यी प्याकेजहरू दुई खाताहरूसँग सम्बन्धित थिए जस मार्फत RubyGems फेब्रुअरी 16 देखि फेब्रुअरी 25, 2020 सम्म पोस्ट गरिएको थियो। 724 खराब प्याकेजहरूजसलाई कुल 95 हजार पटक डाउनलोड गरिएको थियो। अन्वेषकहरूले RubyGems प्रशासनलाई जानकारी दिए र पहिचान गरिएका दुर्भावनापूर्ण प्याकेजहरू भण्डारबाट हटाइएका छन्।

पहिचान गरिएका समस्याग्रस्त प्याकेजहरू मध्ये, सबैभन्दा लोकप्रिय "एटलस-क्लायन्ट" थियो, जुन पहिलो नजरमा व्यावहारिक रूपमा वैध प्याकेजबाट अलग गर्न सकिँदैन।atlas_client"। निर्दिष्ट प्याकेज 2100 पटक डाउनलोड गरिएको थियो (सामान्य प्याकेज 6496 पटक डाउनलोड गरिएको थियो, अर्थात् लगभग 25% केसहरूमा प्रयोगकर्ताहरू गलत थिए)। बाँकी प्याकेजहरू औसतमा 100-150 पटक डाउनलोड गरिएका थिए र अन्डरस्कोर र ड्यासहरू (उदाहरणका लागि, बीचमा खराब प्याकेजहरू: appium-lib, action-mailer_cache_delivery,activemodel_validators, asciidoctor_bibliography, assets-pipeline, apress_validators, ar_octopus-replication-tracking, aliyun-open_search, aliyun-mns, ab_split, apns-polite)।

मालिसियस प्याकेजहरूमा PNG फाइल समावेश थियो जसमा छविको सट्टा Windows प्लेटफर्मको लागि कार्यान्वयनयोग्य फाइल समावेश थियो। फाइल Ocra Ruby2Exe उपयोगिता प्रयोग गरेर उत्पन्न गरिएको थियो र रूबी स्क्रिप्ट र रुबी अनुवादकको साथ एक स्व-निकाल्ने अभिलेख समावेश गरिएको थियो। प्याकेज स्थापना गर्दा, png फाइललाई exe मा पुन: नामाकरण गरियो र सुरु गरियो। कार्यान्वयनको क्रममा, VBScript फाइल सिर्जना गरियो र autorun मा थपियो। लुपमा निर्दिष्ट मालिसियस VBScript ले क्रिप्टो वालेट ठेगानाहरूको सम्झना दिलाउने जानकारीको उपस्थितिको लागि क्लिपबोर्डका सामग्रीहरूको विश्लेषण गर्‍यो, र यदि पत्ता लाग्यो भने, प्रयोगकर्ताले भिन्नताहरू याद गर्दैन र गलत वालेटमा रकम स्थानान्तरण गर्नेछैन भन्ने अपेक्षाको साथ वालेट नम्बर बदल्यो। ।

अध्ययनले देखाएको छ कि सबैभन्दा लोकप्रिय रिपोजिटरीहरू मध्ये एकमा मालिसियस प्याकेजहरू थप्न गाह्रो छैन, र यी प्याकेजहरू डाउनलोडहरूको महत्त्वपूर्ण संख्याको बावजुद पत्ता लगाउन नसकिने हुन सक्छन्। यो समस्या ध्यान दिनुपर्छ छैन विशिष्ट लागि RubyGems र अन्य लोकप्रिय भण्डारहरू कभर गर्दछ। उदाहरणका लागि, गत वर्ष उही शोधकर्ताहरू खुलासा NPM रिपोजिटरीमा bb-builder भनिने एक खराब प्याकेज छ, जसले पासवर्डहरू चोरी गर्न कार्यान्वयनयोग्य फाइल सुरु गर्ने समान प्रविधि प्रयोग गर्दछ। यसअघि पछाडिको ढोका थियो भेटियो घटना-स्ट्रिम NPM प्याकेजमा निर्भर गर्दै, मालिसियस कोड लगभग 8 मिलियन पटक डाउनलोड गरिएको थियो। खराब प्याकेजहरू पनि आवधिक रूपमा पप अप PyPI भण्डारमा।

स्रोत: opennet.ru