ਮਾਲਵੇਅਰ UAParser.js NPM ਪੈਕੇਜ ਵਿੱਚ 8M ਡਾਉਨਲੋਡਸ ਪ੍ਰਤੀ ਹਫ਼ਤਾ ਸ਼ਾਮਲ ਹੈ

NPM ਰਿਪੋਜ਼ਟਰੀ ਤੋਂ UAParser.js ਲਾਇਬ੍ਰੇਰੀ ਦੇ ਕੋਡ ਦੀ ਨਕਲ ਕਰਨ ਵਾਲੇ ਤਿੰਨ ਖਤਰਨਾਕ ਪੈਕੇਜਾਂ ਨੂੰ ਹਟਾਉਣ ਦੀ ਕਹਾਣੀ ਨੂੰ ਇੱਕ ਅਚਾਨਕ ਨਿਰੰਤਰਤਾ ਪ੍ਰਾਪਤ ਹੋਈ - ਅਣਪਛਾਤੇ ਹਮਲਾਵਰਾਂ ਨੇ UAParser.js ਪ੍ਰੋਜੈਕਟ ਦੇ ਲੇਖਕ ਦੇ ਖਾਤੇ 'ਤੇ ਨਿਯੰਤਰਣ ਜਬਤ ਕਰ ਲਿਆ ਅਤੇ ਕੋਡ ਵਾਲੇ ਅਪਡੇਟਸ ਜਾਰੀ ਕੀਤੇ। ਪਾਸਵਰਡ ਚੋਰੀ ਕਰਨਾ ਅਤੇ ਕ੍ਰਿਪਟੋਕਰੰਸੀ ਦੀ ਮਾਈਨਿੰਗ।

ਸਮੱਸਿਆ ਇਹ ਹੈ ਕਿ UAParser.js ਲਾਇਬ੍ਰੇਰੀ, ਜੋ ਕਿ HTTP ਉਪਭੋਗਤਾ-ਏਜੰਟ ਸਿਰਲੇਖ ਨੂੰ ਪਾਰਸ ਕਰਨ ਲਈ ਫੰਕਸ਼ਨਾਂ ਦੀ ਪੇਸ਼ਕਸ਼ ਕਰਦੀ ਹੈ, ਪ੍ਰਤੀ ਹਫ਼ਤੇ ਲਗਭਗ 8 ਮਿਲੀਅਨ ਡਾਉਨਲੋਡਸ ਹਨ ਅਤੇ 1200 ਤੋਂ ਵੱਧ ਪ੍ਰੋਜੈਕਟਾਂ ਵਿੱਚ ਨਿਰਭਰਤਾ ਵਜੋਂ ਵਰਤੀ ਜਾਂਦੀ ਹੈ। UAParser.js ਨੂੰ Microsoft, Amazon, Facebook, Slack, Discord, Mozilla, Apple, ProtonMail, Autodesk, Reddit, Vimeo, Uber, Dell, IBM, Siemens, Oracle, HP, ਅਤੇ Verison ਵਰਗੀਆਂ ਕੰਪਨੀਆਂ ਦੁਆਰਾ ਵਰਤਣ ਦਾ ਦਾਅਵਾ ਕੀਤਾ ਗਿਆ ਹੈ।

ਇਹ ਹਮਲਾ ਪ੍ਰੋਜੈਕਟ ਡਿਵੈਲਪਰ ਦੇ ਖਾਤੇ ਵਿੱਚ ਹੈਕ ਕਰਕੇ ਕੀਤਾ ਗਿਆ ਸੀ, ਜਿਸਨੂੰ ਅਹਿਸਾਸ ਹੋਇਆ ਕਿ ਸਪੈਮ ਦੀ ਇੱਕ ਅਸਾਧਾਰਨ ਲਹਿਰ ਉਸਦੇ ਮੇਲਬਾਕਸ ਵਿੱਚ ਡਿੱਗਣ ਤੋਂ ਬਾਅਦ ਕੁਝ ਗਲਤ ਸੀ। ਡਿਵੈਲਪਰ ਦਾ ਖਾਤਾ ਅਸਲ ਵਿੱਚ ਕਿਵੇਂ ਹੈਕ ਕੀਤਾ ਗਿਆ ਸੀ ਇਸਦੀ ਰਿਪੋਰਟ ਨਹੀਂ ਕੀਤੀ ਗਈ ਹੈ। ਹਮਲਾਵਰਾਂ ਨੇ ਉਹਨਾਂ ਵਿੱਚ ਖਤਰਨਾਕ ਕੋਡ ਲਗਾ ਕੇ ਰੀਲੀਜ਼ 0.7.29, 0.8.0 ਅਤੇ 1.0.0 ਬਣਾਈਆਂ। ਕੁਝ ਘੰਟਿਆਂ ਦੇ ਅੰਦਰ, ਡਿਵੈਲਪਰਾਂ ਨੇ ਪ੍ਰੋਜੈਕਟ 'ਤੇ ਮੁੜ ਨਿਯੰਤਰਣ ਪਾ ਲਿਆ ਅਤੇ ਸਮੱਸਿਆ ਨੂੰ ਹੱਲ ਕਰਨ ਲਈ 0.7.30, 0.8.1 ਅਤੇ 1.0.1 ਅਪਡੇਟਸ ਤਿਆਰ ਕੀਤੇ। ਖ਼ਰਾਬ ਸੰਸਕਰਣ ਕੇਵਲ NPM ਰਿਪੋਜ਼ਟਰੀ ਵਿੱਚ ਪੈਕੇਜਾਂ ਵਜੋਂ ਪ੍ਰਕਾਸ਼ਿਤ ਕੀਤੇ ਗਏ ਸਨ। GitHub 'ਤੇ ਪ੍ਰੋਜੈਕਟ ਦੀ Git ਰਿਪੋਜ਼ਟਰੀ ਪ੍ਰਭਾਵਿਤ ਨਹੀਂ ਹੋਈ ਸੀ। ਸਾਰੇ ਉਪਭੋਗਤਾ ਜਿਨ੍ਹਾਂ ਨੇ ਸਮੱਸਿਆ ਵਾਲੇ ਸੰਸਕਰਣ ਸਥਾਪਤ ਕੀਤੇ ਹਨ, ਜੇਕਰ ਉਹਨਾਂ ਨੂੰ Linux / macOS 'ਤੇ jsextension ਫਾਈਲ, ਅਤੇ Windows 'ਤੇ jsextension.exe ਅਤੇ create.dll ਫਾਈਲਾਂ ਮਿਲਦੀਆਂ ਹਨ, ਨੂੰ ਸਿਸਟਮ ਨਾਲ ਸਮਝੌਤਾ ਕਰਨ ਬਾਰੇ ਵਿਚਾਰ ਕਰਨ ਦੀ ਸਲਾਹ ਦਿੱਤੀ ਜਾਂਦੀ ਹੈ।

ਜੋੜੀਆਂ ਗਈਆਂ ਖ਼ਰਾਬ ਤਬਦੀਲੀਆਂ ਪਹਿਲਾਂ UAParser.js ਕਲੋਨਾਂ ਵਿੱਚ ਤਜਵੀਜ਼ ਕੀਤੀਆਂ ਗਈਆਂ ਤਬਦੀਲੀਆਂ ਦੇ ਸਮਾਨ ਸਨ, ਜੋ ਮੁੱਖ ਪ੍ਰੋਜੈਕਟ 'ਤੇ ਵੱਡੇ ਪੱਧਰ 'ਤੇ ਹਮਲਾ ਕਰਨ ਤੋਂ ਪਹਿਲਾਂ ਕਾਰਜਕੁਸ਼ਲਤਾ ਦੀ ਜਾਂਚ ਕਰਨ ਲਈ ਜਾਰੀ ਕੀਤੇ ਗਏ ਪ੍ਰਤੀਤ ਹੁੰਦੇ ਹਨ। jsextension ਐਗਜ਼ੀਕਿਊਟੇਬਲ ਫਾਈਲ ਨੂੰ ਲੋਡ ਕੀਤਾ ਗਿਆ ਸੀ ਅਤੇ ਇੱਕ ਬਾਹਰੀ ਹੋਸਟ ਤੋਂ ਉਪਭੋਗਤਾ ਦੇ ਸਿਸਟਮ ਤੇ ਲਾਂਚ ਕੀਤਾ ਗਿਆ ਸੀ, ਜੋ ਕਿ ਉਪਭੋਗਤਾ ਦੇ ਪਲੇਟਫਾਰਮ ਅਤੇ ਲੀਨਕਸ, ਮੈਕੋਸ ਅਤੇ ਵਿੰਡੋਜ਼ ਤੇ ਸਮਰਥਿਤ ਕੰਮ ਦੇ ਅਧਾਰ ਤੇ ਚੁਣਿਆ ਗਿਆ ਸੀ। ਵਿੰਡੋਜ਼ ਪਲੇਟਫਾਰਮ ਲਈ, ਮੋਨੇਰੋ ਕ੍ਰਿਪਟੋਕੁਰੰਸੀ ਮਾਈਨਿੰਗ ਪ੍ਰੋਗਰਾਮ (XMRig ਮਾਈਨਰ ਦੀ ਵਰਤੋਂ ਕੀਤੀ ਗਈ ਸੀ) ਤੋਂ ਇਲਾਵਾ, ਹਮਲਾਵਰਾਂ ਨੇ ਪਾਸਵਰਡਾਂ ਨੂੰ ਰੋਕਣ ਅਤੇ ਉਹਨਾਂ ਨੂੰ ਬਾਹਰੀ ਹੋਸਟ ਨੂੰ ਭੇਜਣ ਲਈ create.dll ਲਾਇਬ੍ਰੇਰੀ ਦੀ ਸ਼ੁਰੂਆਤ ਦਾ ਆਯੋਜਨ ਵੀ ਕੀਤਾ।

ਡਾਉਨਲੋਡ ਕੋਡ ਨੂੰ preinstall.sh ਫਾਈਲ ਵਿੱਚ ਜੋੜਿਆ ਗਿਆ ਸੀ, ਜਿਸ ਵਿੱਚ ਸ਼ਾਮਲ ਕੀਤਾ ਗਿਆ IP=$(curl -k https://freegeoip.app/xml/ | grep 'RU|UA|BY|KZ') ਜੇਕਰ [ -z " $IP" ] ... ਫਾਈ ਐਗਜ਼ੀਕਿਊਟੇਬਲ ਨੂੰ ਡਾਊਨਲੋਡ ਅਤੇ ਚਲਾਓ

ਜਿਵੇਂ ਕਿ ਕੋਡ ਤੋਂ ਦੇਖਿਆ ਜਾ ਸਕਦਾ ਹੈ, ਸਕ੍ਰਿਪਟ ਨੇ ਪਹਿਲਾਂ freegeoip.app ਸੇਵਾ ਵਿੱਚ IP ਐਡਰੈੱਸ ਦੀ ਜਾਂਚ ਕੀਤੀ ਅਤੇ ਰੂਸ, ਯੂਕਰੇਨ, ਬੇਲਾਰੂਸ ਅਤੇ ਕਜ਼ਾਕਿਸਤਾਨ ਦੇ ਉਪਭੋਗਤਾਵਾਂ ਲਈ ਇੱਕ ਖਤਰਨਾਕ ਐਪਲੀਕੇਸ਼ਨ ਲਾਂਚ ਨਹੀਂ ਕੀਤੀ।

ਸਰੋਤ: opennet.ru