ਇੱਕ ਵਿਸ਼ਲੇਸ਼ਕ ਪ੍ਰਕਾਸ਼ਿਤ ਕੀਤਾ ਗਿਆ ਹੈ ਜਿਸ ਨੇ NPM ਅਤੇ PyPI ਵਿੱਚ 200 ਖਤਰਨਾਕ ਪੈਕੇਜਾਂ ਦੀ ਪਛਾਣ ਕੀਤੀ ਹੈ

OpenSSF (ਓਪਨ ਸੋਰਸ ਸੁਰੱਖਿਆ ਫਾਊਂਡੇਸ਼ਨ), ਲੀਨਕਸ ਫਾਊਂਡੇਸ਼ਨ ਦੁਆਰਾ ਬਣਾਈ ਗਈ ਅਤੇ ਓਪਨ ਸੋਰਸ ਸੌਫਟਵੇਅਰ ਦੀ ਸੁਰੱਖਿਆ ਨੂੰ ਬਿਹਤਰ ਬਣਾਉਣ ਦੇ ਉਦੇਸ਼ ਨਾਲ, ਓਪਨ ਪ੍ਰੋਜੈਕਟ ਪੈਕੇਜ ਵਿਸ਼ਲੇਸ਼ਣ ਪੇਸ਼ ਕੀਤਾ, ਜੋ ਪੈਕੇਜਾਂ ਵਿੱਚ ਖਤਰਨਾਕ ਕੋਡ ਦੀ ਮੌਜੂਦਗੀ ਦਾ ਵਿਸ਼ਲੇਸ਼ਣ ਕਰਨ ਲਈ ਇੱਕ ਸਿਸਟਮ ਵਿਕਸਿਤ ਕਰਦਾ ਹੈ। ਪ੍ਰੋਜੈਕਟ ਕੋਡ ਗੋ ਵਿੱਚ ਲਿਖਿਆ ਗਿਆ ਹੈ ਅਤੇ ਅਪਾਚੇ 2.0 ਲਾਇਸੰਸ ਦੇ ਤਹਿਤ ਵੰਡਿਆ ਗਿਆ ਹੈ। ਪ੍ਰਸਤਾਵਿਤ ਟੂਲਸ ਦੀ ਵਰਤੋਂ ਕਰਦੇ ਹੋਏ NPM ਅਤੇ PyPI ਰਿਪੋਜ਼ਟਰੀਆਂ ਦੇ ਇੱਕ ਸ਼ੁਰੂਆਤੀ ਸਕੈਨ ਨੇ ਸਾਨੂੰ 200 ਤੋਂ ਵੱਧ ਪਹਿਲਾਂ ਅਣਡਿੱਠੇ ਖਤਰਨਾਕ ਪੈਕੇਜਾਂ ਦੀ ਪਛਾਣ ਕਰਨ ਦੀ ਇਜਾਜ਼ਤ ਦਿੱਤੀ।

ਪਛਾਣੇ ਗਏ ਸਮੱਸਿਆ ਵਾਲੇ ਪੈਕੇਜਾਂ ਦਾ ਵੱਡਾ ਹਿੱਸਾ ਪ੍ਰੋਜੈਕਟਾਂ ਦੀ ਅੰਦਰੂਨੀ ਗੈਰ-ਜਨਤਕ ਨਿਰਭਰਤਾ (ਨਿਰਭਰਤਾ ਭੰਬਲਭੂਸੇ ਦਾ ਹਮਲਾ) ਦੇ ਨਾਲ ਨਾਮਾਂ ਦੇ ਇੰਟਰਸੈਕਸ਼ਨ ਨੂੰ ਹੇਰਾਫੇਰੀ ਕਰਦਾ ਹੈ ਜਾਂ ਟਾਈਪੋਸਕੁਏਟਿੰਗ ਵਿਧੀਆਂ (ਪ੍ਰਸਿੱਧ ਲਾਇਬ੍ਰੇਰੀਆਂ ਦੇ ਨਾਵਾਂ ਦੇ ਸਮਾਨ ਨਾਮ ਨਿਰਧਾਰਤ ਕਰਨਾ) ਦੀ ਵਰਤੋਂ ਕਰਦਾ ਹੈ, ਅਤੇ ਸਕ੍ਰਿਪਟਾਂ ਨੂੰ ਵੀ ਕਾਲ ਕਰਦਾ ਹੈ ਜੋ ਇਸ ਦੌਰਾਨ ਬਾਹਰੀ ਮੇਜ਼ਬਾਨਾਂ ਤੱਕ ਪਹੁੰਚ ਕਰਦੇ ਹਨ। ਇੰਸਟਾਲੇਸ਼ਨ ਕਾਰਜ. ਪੈਕੇਜ ਵਿਸ਼ਲੇਸ਼ਣ ਦੇ ਡਿਵੈਲਪਰਾਂ ਦੇ ਅਨੁਸਾਰ, ਜ਼ਿਆਦਾਤਰ ਪਛਾਣੇ ਗਏ ਸਮੱਸਿਆ ਵਾਲੇ ਪੈਕੇਜ ਬੱਗ ਬਾਉਂਟੀ ਪ੍ਰੋਗਰਾਮਾਂ ਵਿੱਚ ਹਿੱਸਾ ਲੈਣ ਵਾਲੇ ਸੁਰੱਖਿਆ ਖੋਜਕਰਤਾਵਾਂ ਦੁਆਰਾ ਬਣਾਏ ਗਏ ਸਨ, ਕਿਉਂਕਿ ਭੇਜਿਆ ਗਿਆ ਡੇਟਾ ਉਪਭੋਗਤਾ ਅਤੇ ਸਿਸਟਮ ਨਾਮ ਤੱਕ ਸੀਮਿਤ ਹੈ, ਅਤੇ ਕਾਰਵਾਈਆਂ ਸਪੱਸ਼ਟ ਤੌਰ 'ਤੇ ਕੀਤੀਆਂ ਜਾਂਦੀਆਂ ਹਨ, ਬਿਨਾਂ ਕੋਸ਼ਿਸ਼ਾਂ ਦੇ ਆਪਣੇ ਵਿਵਹਾਰ ਨੂੰ ਲੁਕਾਓ.

ਖਤਰਨਾਕ ਗਤੀਵਿਧੀ ਵਾਲੇ ਪੈਕੇਜਾਂ ਵਿੱਚ ਸ਼ਾਮਲ ਹਨ:

• PyPI ਪੈਕੇਜ discordcmd, ਜੋ raw.githubusercontent.com, Discord API ਅਤੇ ipinfo.io ਨੂੰ ਅਟੈਪੀਕਲ ਬੇਨਤੀਆਂ ਭੇਜਣ ਨੂੰ ਰਿਕਾਰਡ ਕਰਦਾ ਹੈ। ਨਿਰਧਾਰਤ ਪੈਕੇਜ ਨੇ GitHub ਤੋਂ ਬੈਕਡੋਰ ਕੋਡ ਨੂੰ ਡਾਊਨਲੋਡ ਕੀਤਾ ਅਤੇ ਇਸਨੂੰ ਡਿਸਕੋਰਡ ਵਿੰਡੋਜ਼ ਕਲਾਇੰਟ ਡਾਇਰੈਕਟਰੀ ਵਿੱਚ ਸਥਾਪਿਤ ਕੀਤਾ, ਜਿਸ ਤੋਂ ਬਾਅਦ ਇਸ ਨੇ ਫਾਈਲ ਸਿਸਟਮ ਵਿੱਚ ਡਿਸਕੋਰਡ ਟੋਕਨਾਂ ਦੀ ਖੋਜ ਕਰਨ ਅਤੇ ਹਮਲਾਵਰਾਂ ਦੁਆਰਾ ਨਿਯੰਤਰਿਤ ਇੱਕ ਬਾਹਰੀ ਡਿਸਕੋਰਡ ਸਰਵਰ ਨੂੰ ਭੇਜਣ ਦੀ ਪ੍ਰਕਿਰਿਆ ਸ਼ੁਰੂ ਕੀਤੀ।
• colorsss NPM ਪੈਕੇਜ ਨੇ ਡਿਸਕਾਰਡ ਖਾਤੇ ਤੋਂ ਇੱਕ ਬਾਹਰੀ ਸਰਵਰ ਨੂੰ ਟੋਕਨ ਭੇਜਣ ਦੀ ਕੋਸ਼ਿਸ਼ ਵੀ ਕੀਤੀ।
• NPM ਪੈਕੇਜ @roku-web-core/ajax - ਇੰਸਟਾਲੇਸ਼ਨ ਪ੍ਰਕਿਰਿਆ ਦੇ ਦੌਰਾਨ ਇਸਨੇ ਸਿਸਟਮ ਬਾਰੇ ਡੇਟਾ ਭੇਜਿਆ ਅਤੇ ਇੱਕ ਹੈਂਡਲਰ (ਰਿਵਰਸ ਸ਼ੈੱਲ) ਲਾਂਚ ਕੀਤਾ ਜੋ ਬਾਹਰੀ ਕੁਨੈਕਸ਼ਨਾਂ ਨੂੰ ਸਵੀਕਾਰ ਕਰਦਾ ਹੈ ਅਤੇ ਕਮਾਂਡਾਂ ਲਾਂਚ ਕਰਦਾ ਹੈ।
• PyPI ਪੈਕੇਜ secrevthree - ਇੱਕ ਖਾਸ ਮੋਡੀਊਲ ਨੂੰ ਆਯਾਤ ਕਰਨ ਵੇਲੇ ਇੱਕ ਰਿਵਰਸ ਸ਼ੈੱਲ ਲਾਂਚ ਕੀਤਾ।
• NPM ਪੈਕੇਜ ਬੇਤਰਤੀਬ-ਵਾਊਚਰਕੋਡ-ਜਨਰੇਟਰ - ਲਾਇਬ੍ਰੇਰੀ ਨੂੰ ਆਯਾਤ ਕਰਨ ਤੋਂ ਬਾਅਦ, ਇਸ ਨੇ ਇੱਕ ਬਾਹਰੀ ਸਰਵਰ ਨੂੰ ਇੱਕ ਬੇਨਤੀ ਭੇਜੀ, ਜਿਸ ਨੇ ਕਮਾਂਡ ਅਤੇ ਸਮਾਂ ਵਾਪਸ ਕਰ ਦਿੱਤਾ ਜਿਸ 'ਤੇ ਇਸਨੂੰ ਚਲਾਉਣਾ ਚਾਹੀਦਾ ਹੈ।

ਪੈਕੇਜ ਵਿਸ਼ਲੇਸ਼ਣ ਦਾ ਕੰਮ ਨੈਟਵਰਕ ਕਨੈਕਸ਼ਨ ਸਥਾਪਤ ਕਰਨ, ਫਾਈਲਾਂ ਤੱਕ ਪਹੁੰਚ ਕਰਨ ਅਤੇ ਕਮਾਂਡਾਂ ਨੂੰ ਚਲਾਉਣ ਲਈ ਸਰੋਤ ਕੋਡ ਵਿੱਚ ਕੋਡ ਪੈਕੇਜਾਂ ਦਾ ਵਿਸ਼ਲੇਸ਼ਣ ਕਰਨ ਲਈ ਹੇਠਾਂ ਆਉਂਦਾ ਹੈ। ਇਸ ਤੋਂ ਇਲਾਵਾ, ਸ਼ੁਰੂਆਤੀ ਨੁਕਸਾਨ ਰਹਿਤ ਸੌਫਟਵੇਅਰ ਦੇ ਰੀਲੀਜ਼ਾਂ ਵਿੱਚੋਂ ਇੱਕ ਵਿੱਚ ਖਤਰਨਾਕ ਸੰਮਿਲਨਾਂ ਦੇ ਜੋੜ ਨੂੰ ਨਿਰਧਾਰਤ ਕਰਨ ਲਈ ਪੈਕੇਜਾਂ ਦੀ ਸਥਿਤੀ ਵਿੱਚ ਤਬਦੀਲੀਆਂ ਦੀ ਨਿਗਰਾਨੀ ਕੀਤੀ ਜਾਂਦੀ ਹੈ। ਰਿਪੋਜ਼ਟਰੀਆਂ ਵਿੱਚ ਨਵੇਂ ਪੈਕੇਜਾਂ ਦੀ ਦਿੱਖ ਦੀ ਨਿਗਰਾਨੀ ਕਰਨ ਅਤੇ ਪਹਿਲਾਂ ਪੋਸਟ ਕੀਤੇ ਪੈਕੇਜਾਂ ਵਿੱਚ ਤਬਦੀਲੀਆਂ ਕਰਨ ਲਈ, ਪੈਕੇਜ ਫੀਡਜ਼ ਟੂਲਕਿੱਟ ਦੀ ਵਰਤੋਂ ਕੀਤੀ ਜਾਂਦੀ ਹੈ, ਜੋ ਕਿ NPM, PyPI, Go, RubyGems, Packagist, NuGet ਅਤੇ Crate ਰਿਪੋਜ਼ਟਰੀਆਂ ਨਾਲ ਕੰਮ ਨੂੰ ਏਕੀਕ੍ਰਿਤ ਕਰਦੀ ਹੈ।

ਪੈਕੇਜ ਵਿਸ਼ਲੇਸ਼ਣ ਵਿੱਚ ਤਿੰਨ ਬੁਨਿਆਦੀ ਭਾਗ ਸ਼ਾਮਲ ਹੁੰਦੇ ਹਨ ਜਿਨ੍ਹਾਂ ਨੂੰ ਜੋੜ ਕੇ ਅਤੇ ਵੱਖਰੇ ਤੌਰ 'ਤੇ ਵਰਤਿਆ ਜਾ ਸਕਦਾ ਹੈ:

• ਪੈਕੇਜ ਫੀਡਸ ਤੋਂ ਡੇਟਾ ਦੇ ਅਧਾਰ ਤੇ ਪੈਕੇਜ ਵਿਸ਼ਲੇਸ਼ਣ ਦੇ ਕੰਮ ਨੂੰ ਸ਼ੁਰੂ ਕਰਨ ਲਈ ਸਮਾਂ-ਸੂਚੀ।
• ਇੱਕ ਵਿਸ਼ਲੇਸ਼ਕ ਜੋ ਸਿੱਧੇ ਤੌਰ 'ਤੇ ਪੈਕੇਜ ਦੀ ਜਾਂਚ ਕਰਦਾ ਹੈ ਅਤੇ ਸਥਿਰ ਵਿਸ਼ਲੇਸ਼ਣ ਅਤੇ ਗਤੀਸ਼ੀਲ ਟਰੇਸਿੰਗ ਤਕਨੀਕਾਂ ਦੀ ਵਰਤੋਂ ਕਰਕੇ ਇਸਦੇ ਵਿਵਹਾਰ ਦਾ ਮੁਲਾਂਕਣ ਕਰਦਾ ਹੈ। ਟੈਸਟ ਇੱਕ ਅਲੱਗ-ਥਲੱਗ ਵਾਤਾਵਰਣ ਵਿੱਚ ਕੀਤਾ ਜਾਂਦਾ ਹੈ।
• ਇੱਕ ਲੋਡਰ ਜੋ ਟੈਸਟ ਦੇ ਨਤੀਜਿਆਂ ਨੂੰ BigQuery ਸਟੋਰੇਜ ਵਿੱਚ ਰੱਖਦਾ ਹੈ।

ਸਰੋਤ: opennet.ru