NPM ਪੈਕੇਜਾਂ ਰਾਹੀਂ ਜਰਮਨ ਕੰਪਨੀਆਂ 'ਤੇ ਹਮਲਾ

ਜਰਮਨ ਕੰਪਨੀਆਂ Bertelsmann, Bosch, Stihl ਅਤੇ DB Schenker 'ਤੇ ਨਿਸ਼ਾਨਾ ਹਮਲਿਆਂ ਲਈ ਬਣਾਏ ਗਏ ਖਤਰਨਾਕ NPM ਪੈਕੇਜਾਂ ਦੇ ਇੱਕ ਨਵੇਂ ਬੈਚ ਦਾ ਖੁਲਾਸਾ ਕੀਤਾ ਗਿਆ ਹੈ। ਹਮਲਾ ਨਿਰਭਰਤਾ ਮਿਕਸਿੰਗ ਵਿਧੀ ਦੀ ਵਰਤੋਂ ਕਰਦਾ ਹੈ, ਜੋ ਜਨਤਕ ਅਤੇ ਅੰਦਰੂਨੀ ਰਿਪੋਜ਼ਟਰੀਆਂ ਵਿੱਚ ਨਿਰਭਰਤਾ ਨਾਮਾਂ ਦੇ ਇੰਟਰਸੈਕਸ਼ਨ ਨੂੰ ਹੇਰਾਫੇਰੀ ਕਰਦਾ ਹੈ। ਜਨਤਕ ਤੌਰ 'ਤੇ ਉਪਲਬਧ ਐਪਲੀਕੇਸ਼ਨਾਂ ਵਿੱਚ, ਹਮਲਾਵਰ ਕਾਰਪੋਰੇਟ ਰਿਪੋਜ਼ਟਰੀਆਂ ਤੋਂ ਡਾਊਨਲੋਡ ਕੀਤੇ ਅੰਦਰੂਨੀ NPM ਪੈਕੇਜਾਂ ਤੱਕ ਪਹੁੰਚ ਦੇ ਟਰੇਸ ਲੱਭਦੇ ਹਨ, ਅਤੇ ਫਿਰ ਜਨਤਕ NPM ਰਿਪੋਜ਼ਟਰੀ ਵਿੱਚ ਸਮਾਨ ਨਾਮਾਂ ਅਤੇ ਨਵੇਂ ਸੰਸਕਰਣ ਨੰਬਰਾਂ ਵਾਲੇ ਪੈਕੇਜ ਰੱਖਦੇ ਹਨ। ਜੇਕਰ ਅਸੈਂਬਲੀ ਦੇ ਦੌਰਾਨ ਅੰਦਰੂਨੀ ਲਾਇਬ੍ਰੇਰੀਆਂ ਨੂੰ ਸੈਟਿੰਗਾਂ ਵਿੱਚ ਉਹਨਾਂ ਦੇ ਰਿਪੋਜ਼ਟਰੀ ਨਾਲ ਸਪੱਸ਼ਟ ਤੌਰ 'ਤੇ ਲਿੰਕ ਨਹੀਂ ਕੀਤਾ ਜਾਂਦਾ ਹੈ, ਤਾਂ npm ਪੈਕੇਜ ਮੈਨੇਜਰ ਜਨਤਕ ਰਿਪੋਜ਼ਟਰੀ ਨੂੰ ਉੱਚ ਤਰਜੀਹ ਮੰਨਦਾ ਹੈ ਅਤੇ ਹਮਲਾਵਰ ਦੁਆਰਾ ਤਿਆਰ ਕੀਤੇ ਪੈਕੇਜ ਨੂੰ ਡਾਊਨਲੋਡ ਕਰਦਾ ਹੈ।

ਅੰਦਰੂਨੀ ਪੈਕੇਜਾਂ ਨੂੰ ਧੋਖਾ ਦੇਣ ਦੀਆਂ ਪਿਛਲੀਆਂ ਦਸਤਾਵੇਜ਼ੀ ਕੋਸ਼ਿਸ਼ਾਂ ਦੇ ਉਲਟ, ਆਮ ਤੌਰ 'ਤੇ ਵੱਡੀਆਂ ਕੰਪਨੀਆਂ ਦੇ ਉਤਪਾਦਾਂ ਵਿੱਚ ਕਮਜ਼ੋਰੀਆਂ ਦੀ ਪਛਾਣ ਕਰਨ ਲਈ ਇਨਾਮ ਪ੍ਰਾਪਤ ਕਰਨ ਲਈ ਸੁਰੱਖਿਆ ਖੋਜਕਰਤਾਵਾਂ ਦੁਆਰਾ ਕੀਤੇ ਜਾਂਦੇ ਹਨ, ਖੋਜੇ ਗਏ ਪੈਕੇਜਾਂ ਵਿੱਚ ਟੈਸਟਿੰਗ ਬਾਰੇ ਸੂਚਨਾਵਾਂ ਨਹੀਂ ਹੁੰਦੀਆਂ ਹਨ ਅਤੇ ਇਸ ਵਿੱਚ ਅਪ੍ਰਤੱਖ ਕੰਮ ਕਰਨ ਵਾਲੇ ਖਤਰਨਾਕ ਕੋਡ ਸ਼ਾਮਲ ਹੁੰਦੇ ਹਨ ਜੋ ਡਾਊਨਲੋਡ ਅਤੇ ਚਲਾਉਂਦੇ ਹਨ। ਪ੍ਰਭਾਵਿਤ ਇੱਕ ਸਿਸਟਮ ਦੇ ਰਿਮੋਟ ਕੰਟਰੋਲ ਲਈ ਪਿਛਲੇ ਦਰਵਾਜ਼ੇ.

ਹਮਲੇ ਵਿੱਚ ਸ਼ਾਮਲ ਪੈਕੇਜਾਂ ਦੀ ਆਮ ਸੂਚੀ ਦੀ ਰਿਪੋਰਟ ਨਹੀਂ ਕੀਤੀ ਗਈ ਹੈ; ਇੱਕ ਉਦਾਹਰਨ ਵਜੋਂ, ਸਿਰਫ਼ ਪੈਕੇਜ gxm-reference-web-auth-server, ldtzstxwzpntxqn ਅਤੇ lznfjbhurpjsqmr ਦਾ ਜ਼ਿਕਰ ਕੀਤਾ ਗਿਆ ਹੈ, ਜੋ ਕਿ ਨਵੇਂ ਸੰਸਕਰਣ ਦੇ ਨਾਲ NPM ਰਿਪੋਜ਼ਟਰੀ ਵਿੱਚ boschnodemodules ਖਾਤੇ ਦੇ ਅਧੀਨ ਪੋਸਟ ਕੀਤੇ ਗਏ ਸਨ। ਮੂਲ ਅੰਦਰੂਨੀ ਪੈਕੇਜਾਂ ਨਾਲੋਂ 0.5.70 ਅਤੇ 4.0.49. 4 ਨੰਬਰ। ਇਹ ਅਜੇ ਸਪੱਸ਼ਟ ਨਹੀਂ ਹੈ ਕਿ ਹਮਲਾਵਰਾਂ ਨੇ ਅੰਦਰੂਨੀ ਲਾਇਬ੍ਰੇਰੀਆਂ ਦੇ ਨਾਮ ਅਤੇ ਸੰਸਕਰਣਾਂ ਦਾ ਪਤਾ ਲਗਾਉਣ ਵਿੱਚ ਕਿਵੇਂ ਪ੍ਰਬੰਧਿਤ ਕੀਤਾ ਜਿਨ੍ਹਾਂ ਦਾ ਓਪਨ ਰਿਪੋਜ਼ਟਰੀਆਂ ਵਿੱਚ ਜ਼ਿਕਰ ਨਹੀਂ ਕੀਤਾ ਗਿਆ ਹੈ। ਮੰਨਿਆ ਜਾਂਦਾ ਹੈ ਕਿ ਇਹ ਜਾਣਕਾਰੀ ਅੰਦਰੂਨੀ ਜਾਣਕਾਰੀ ਲੀਕ ਹੋਣ ਦੇ ਨਤੀਜੇ ਵਜੋਂ ਪ੍ਰਾਪਤ ਕੀਤੀ ਗਈ ਸੀ। ਨਵੇਂ ਪੈਕੇਜਾਂ ਦੇ ਪ੍ਰਕਾਸ਼ਨ ਦੀ ਨਿਗਰਾਨੀ ਕਰਨ ਵਾਲੇ ਖੋਜਕਰਤਾਵਾਂ ਨੇ NPM ਪ੍ਰਸ਼ਾਸਨ ਨੂੰ ਦੱਸਿਆ ਕਿ ਖਤਰਨਾਕ ਪੈਕੇਜ ਪ੍ਰਕਾਸ਼ਿਤ ਹੋਣ ਤੋਂ XNUMX ਘੰਟੇ ਬਾਅਦ ਪਛਾਣੇ ਗਏ ਸਨ।

ਅੱਪਡੇਟ: ਕੋਡ ਵ੍ਹਾਈਟ ਨੇ ਕਿਹਾ ਕਿ ਹਮਲਾ ਉਸਦੇ ਕਰਮਚਾਰੀ ਦੁਆਰਾ ਗਾਹਕ ਬੁਨਿਆਦੀ ਢਾਂਚੇ 'ਤੇ ਹਮਲੇ ਦੇ ਤਾਲਮੇਲ ਵਾਲੇ ਸਿਮੂਲੇਸ਼ਨ ਦੇ ਹਿੱਸੇ ਵਜੋਂ ਕੀਤਾ ਗਿਆ ਸੀ। ਪ੍ਰਯੋਗ ਦੇ ਦੌਰਾਨ, ਲਾਗੂ ਕੀਤੇ ਸੁਰੱਖਿਆ ਉਪਾਵਾਂ ਦੀ ਪ੍ਰਭਾਵਸ਼ੀਲਤਾ ਦੀ ਜਾਂਚ ਕਰਨ ਲਈ ਅਸਲ ਹਮਲਾਵਰਾਂ ਦੀਆਂ ਕਾਰਵਾਈਆਂ ਦੀ ਨਕਲ ਕੀਤੀ ਗਈ ਸੀ।

ਸਰੋਤ: opennet.ru