NPM ਨੇ 15 ਹਜ਼ਾਰ ਫਿਸ਼ਿੰਗ ਅਤੇ ਸਪੈਮ ਪੈਕੇਜਾਂ ਦੀ ਪਛਾਣ ਕੀਤੀ

NPM ਡਾਇਰੈਕਟਰੀ ਦੇ ਉਪਭੋਗਤਾਵਾਂ 'ਤੇ ਇੱਕ ਹਮਲਾ ਦਰਜ ਕੀਤਾ ਗਿਆ ਸੀ, ਜਿਸ ਦੇ ਨਤੀਜੇ ਵਜੋਂ 20 ਫਰਵਰੀ ਨੂੰ, NPM ਰਿਪੋਜ਼ਟਰੀ ਵਿੱਚ 15 ਹਜ਼ਾਰ ਤੋਂ ਵੱਧ ਪੈਕੇਜ ਪੋਸਟ ਕੀਤੇ ਗਏ ਸਨ, ਜਿਨ੍ਹਾਂ ਦੀਆਂ README ਫਾਈਲਾਂ ਵਿੱਚ ਫਿਸ਼ਿੰਗ ਸਾਈਟਾਂ ਦੇ ਲਿੰਕ ਸਨ ਜਾਂ ਕਲਿੱਕਾਂ ਲਈ ਰੈਫਰਲ ਲਿੰਕ ਸਨ ਜਿਨ੍ਹਾਂ 'ਤੇ ਰਾਇਲਟੀ. ਅਦਾ ਕੀਤੇ ਜਾਂਦੇ ਹਨ। ਵਿਸ਼ਲੇਸ਼ਣ ਦੇ ਦੌਰਾਨ, ਪੈਕੇਜਾਂ ਵਿੱਚ 190 ਵਿਲੱਖਣ ਫਿਸ਼ਿੰਗ ਜਾਂ ਵਿਗਿਆਪਨ ਲਿੰਕਾਂ ਦੀ ਪਛਾਣ ਕੀਤੀ ਗਈ ਸੀ, 31 ਡੋਮੇਨਾਂ ਨੂੰ ਕਵਰ ਕਰਦੇ ਹੋਏ।

ਪੈਕੇਜਾਂ ਦੇ ਨਾਮ ਆਮ ਲੋਕਾਂ ਦੀ ਦਿਲਚਸਪੀ ਨੂੰ ਆਕਰਸ਼ਿਤ ਕਰਨ ਲਈ ਚੁਣੇ ਗਏ ਸਨ, ਉਦਾਹਰਨ ਲਈ, “ਫ੍ਰੀ-ਟਿਕਟੋਕ-ਫਾਲੋਅਰਜ਼”, “ਫ੍ਰੀ-ਐਕਸਬਾਕਸ-ਕੋਡਸ”, “ਇੰਸਟਾਗ੍ਰਾਮ-ਫਾਲੋਅਰਜ਼-ਫ੍ਰੀ”, ਆਦਿ। ਗਣਨਾ ਸਪੈਮ ਪੈਕੇਜਾਂ ਦੇ ਨਾਲ NPM ਮੁੱਖ ਪੰਨੇ 'ਤੇ ਹਾਲੀਆ ਅਪਡੇਟਾਂ ਦੀ ਸੂਚੀ ਨੂੰ ਭਰਨ ਲਈ ਕੀਤੀ ਗਈ ਸੀ। ਪੈਕੇਜਾਂ ਦੇ ਵੇਰਵਿਆਂ ਵਿੱਚ ਉਹ ਲਿੰਕ ਸ਼ਾਮਲ ਹਨ ਜੋ ਮੁਫਤ ਦੇਣ, ਤੋਹਫ਼ੇ, ਗੇਮ ਚੀਟਸ ਦੇ ਨਾਲ-ਨਾਲ ਟਿਕਟੋਕ ਅਤੇ ਇੰਸਟਾਗ੍ਰਾਮ ਵਰਗੇ ਸੋਸ਼ਲ ਨੈਟਵਰਕਸ 'ਤੇ ਫਾਲੋਅਰਜ਼ ਅਤੇ ਪਸੰਦਾਂ ਨੂੰ ਵਧਾਉਣ ਲਈ ਮੁਫਤ ਸੇਵਾਵਾਂ ਦਾ ਵਾਅਦਾ ਕਰਦੇ ਹਨ। ਇਹ ਅਜਿਹਾ ਪਹਿਲਾ ਹਮਲਾ ਨਹੀਂ ਹੈ; ਦਸੰਬਰ ਵਿੱਚ, 144 ਹਜ਼ਾਰ ਸਪੈਮ ਪੈਕੇਜਾਂ ਦਾ ਪ੍ਰਕਾਸ਼ਨ NuGet, NPM ਅਤੇ PyPi ਡਾਇਰੈਕਟਰੀਆਂ ਵਿੱਚ ਦਰਜ ਕੀਤਾ ਗਿਆ ਸੀ।

ਪੈਕੇਜਾਂ ਦੀ ਸਮਗਰੀ ਇੱਕ ਪਾਈਥਨ ਸਕ੍ਰਿਪਟ ਦੀ ਵਰਤੋਂ ਕਰਕੇ ਆਪਣੇ ਆਪ ਤਿਆਰ ਕੀਤੀ ਗਈ ਸੀ ਜੋ ਜ਼ਾਹਰ ਤੌਰ 'ਤੇ ਅਣਜਾਣੇ ਵਿੱਚ ਪੈਕੇਜਾਂ ਵਿੱਚ ਛੱਡ ਦਿੱਤੀ ਗਈ ਸੀ ਅਤੇ ਹਮਲੇ ਵਿੱਚ ਵਰਤੇ ਗਏ ਕੰਮ ਦੇ ਪ੍ਰਮਾਣ ਪੱਤਰ ਸ਼ਾਮਲ ਕੀਤੇ ਗਏ ਸਨ। ਪੈਕੇਜਾਂ ਨੂੰ ਬਹੁਤ ਸਾਰੇ ਵੱਖ-ਵੱਖ ਖਾਤਿਆਂ ਦੇ ਤਹਿਤ ਪ੍ਰਕਾਸ਼ਿਤ ਕੀਤਾ ਗਿਆ ਸੀ, ਜਿਸ ਨਾਲ ਤਰੀਕਿਆਂ ਦੀ ਵਰਤੋਂ ਕਰਕੇ ਟ੍ਰੇਲ ਨੂੰ ਸੁਲਝਾਉਣਾ ਅਤੇ ਸਮੱਸਿਆ ਵਾਲੇ ਪੈਕੇਜਾਂ ਦੀ ਜਲਦੀ ਪਛਾਣ ਕਰਨਾ ਮੁਸ਼ਕਲ ਹੋ ਗਿਆ ਸੀ।

ਧੋਖਾਧੜੀ ਦੀਆਂ ਗਤੀਵਿਧੀਆਂ ਤੋਂ ਇਲਾਵਾ, NPM ਅਤੇ PyPi ਰਿਪੋਜ਼ਟਰੀਆਂ ਵਿੱਚ ਖਤਰਨਾਕ ਪੈਕੇਜਾਂ ਨੂੰ ਪ੍ਰਕਾਸ਼ਿਤ ਕਰਨ ਦੀਆਂ ਕਈ ਕੋਸ਼ਿਸ਼ਾਂ ਦਾ ਪਤਾ ਲਗਾਇਆ ਗਿਆ ਸੀ:

• PyPI ਰਿਪੋਜ਼ਟਰੀ ਵਿੱਚ 451 ਖਤਰਨਾਕ ਪੈਕੇਜ ਪਾਏ ਗਏ ਸਨ, ਜੋ ਕਿ ਟਾਈਪਸਕੁਆਟਿੰਗ ਦੀ ਵਰਤੋਂ ਕਰਦੇ ਹੋਏ ਆਪਣੇ ਆਪ ਨੂੰ ਕੁਝ ਪ੍ਰਸਿੱਧ ਲਾਇਬ੍ਰੇਰੀਆਂ ਦੇ ਰੂਪ ਵਿੱਚ ਭੇਸ ਵਿੱਚ ਰੱਖਦੇ ਹਨ (ਇੱਕੋ ਜਿਹੇ ਨਾਮ ਨਿਰਧਾਰਤ ਕਰਨਾ ਜੋ ਵਿਅਕਤੀਗਤ ਅੱਖਰਾਂ ਵਿੱਚ ਵੱਖਰੇ ਹਨ, ਉਦਾਹਰਨ ਲਈ, ਵਾਈਪਰ ਦੀ ਬਜਾਏ vper, bitcoinlib ਦੀ ਬਜਾਏ bitcoinnlib, cryptofeed ਦੀ ਬਜਾਏ ccryptofeed, ccxtt ਦੀ ਬਜਾਏ ccxt, cryptocompare ਦੀ ਬਜਾਏ cryptocommpare, seleium ਦੀ ਬਜਾਏ selenium, pinstaller ਦੀ ਬਜਾਏ pyinstaller, ਆਦਿ)। ਪੈਕੇਜਾਂ ਵਿੱਚ ਕ੍ਰਿਪਟੋਕਰੰਸੀ ਚੋਰੀ ਕਰਨ ਲਈ ਅਸਪਸ਼ਟ ਕੋਡ ਸ਼ਾਮਲ ਕੀਤਾ ਗਿਆ ਸੀ, ਜਿਸ ਨੇ ਕਲਿੱਪਬੋਰਡ ਵਿੱਚ ਕ੍ਰਿਪਟੋ ਵਾਲਿਟ ਪਛਾਣਕਰਤਾਵਾਂ ਦੀ ਮੌਜੂਦਗੀ ਦਾ ਪਤਾ ਲਗਾਇਆ ਅਤੇ ਉਹਨਾਂ ਨੂੰ ਹਮਲਾਵਰ ਦੇ ਵਾਲਿਟ ਵਿੱਚ ਬਦਲ ਦਿੱਤਾ (ਇਹ ਮੰਨਿਆ ਜਾਂਦਾ ਹੈ ਕਿ ਭੁਗਤਾਨ ਕਰਨ ਵੇਲੇ, ਪੀੜਤ ਇਹ ਨਹੀਂ ਦੇਖੇਗਾ ਕਿ ਵਾਲਿਟ ਨੰਬਰ ਕਲਿੱਪਬੋਰਡ ਦੁਆਰਾ ਟ੍ਰਾਂਸਫਰ ਕੀਤਾ ਗਿਆ ਸੀ। ਵੱਖਰਾ ਹੈ). ਬਦਲਾਵ ਇੱਕ ਬ੍ਰਾਊਜ਼ਰ ਐਡ-ਆਨ ਦੁਆਰਾ ਕੀਤਾ ਗਿਆ ਸੀ ਜੋ ਦੇਖੇ ਗਏ ਹਰੇਕ ਵੈਬ ਪੇਜ ਦੇ ਸੰਦਰਭ ਵਿੱਚ ਚਲਾਇਆ ਗਿਆ ਸੀ।
• PyPI ਰਿਪੋਜ਼ਟਰੀ ਵਿੱਚ ਖਤਰਨਾਕ HTTP ਲਾਇਬ੍ਰੇਰੀਆਂ ਦੀ ਇੱਕ ਲੜੀ ਦੀ ਪਛਾਣ ਕੀਤੀ ਗਈ ਹੈ। 41 ਪੈਕੇਜਾਂ ਵਿੱਚ ਖ਼ਰਾਬ ਗਤੀਵਿਧੀ ਪਾਈ ਗਈ ਸੀ, ਜਿਨ੍ਹਾਂ ਦੇ ਨਾਮ ਟਾਈਪਕੁਏਟਿੰਗ ਵਿਧੀਆਂ ਦੀ ਵਰਤੋਂ ਕਰਕੇ ਚੁਣੇ ਗਏ ਸਨ ਅਤੇ ਪ੍ਰਸਿੱਧ ਲਾਇਬ੍ਰੇਰੀਆਂ (aio5, requestst, ulrlib, urllb, libhttps, piphttps, httpxv2, ਆਦਿ) ਦੇ ਸਮਾਨ ਸਨ। ਸਟਫਿੰਗ ਨੂੰ ਕੰਮ ਕਰਨ ਵਾਲੀਆਂ HTTP ਲਾਇਬ੍ਰੇਰੀਆਂ ਦੇ ਸਮਾਨ ਜਾਂ ਮੌਜੂਦਾ ਲਾਇਬ੍ਰੇਰੀਆਂ ਦੇ ਕੋਡ ਦੀ ਨਕਲ ਕਰਨ ਲਈ ਸਟਾਈਲ ਕੀਤਾ ਗਿਆ ਸੀ, ਅਤੇ ਵਰਣਨ ਵਿੱਚ ਲਾਭਾਂ ਬਾਰੇ ਦਾਅਵੇ ਅਤੇ ਜਾਇਜ਼ HTTP ਲਾਇਬ੍ਰੇਰੀਆਂ ਨਾਲ ਤੁਲਨਾ ਸ਼ਾਮਲ ਕੀਤੀ ਗਈ ਸੀ। ਖ਼ਰਾਬ ਗਤੀਵਿਧੀ ਵਿੱਚ ਸਿਸਟਮ ਉੱਤੇ ਮਾਲਵੇਅਰ ਡਾਊਨਲੋਡ ਕਰਨਾ ਜਾਂ ਸੰਵੇਦਨਸ਼ੀਲ ਡਾਟਾ ਇਕੱਠਾ ਕਰਨਾ ਅਤੇ ਭੇਜਣਾ ਸ਼ਾਮਲ ਹੈ।
• NPM ਨੇ 16 JavaScript ਪੈਕੇਜਾਂ (speedte*, trova*, lagra) ਦੀ ਪਛਾਣ ਕੀਤੀ, ਜਿਸ ਵਿੱਚ ਦੱਸੀ ਗਈ ਕਾਰਜਸ਼ੀਲਤਾ (ਥਰੂਪੁੱਟ ਟੈਸਟਿੰਗ) ਤੋਂ ਇਲਾਵਾ, ਉਪਭੋਗਤਾ ਦੇ ਗਿਆਨ ਤੋਂ ਬਿਨਾਂ ਕ੍ਰਿਪਟੋਕੁਰੰਸੀ ਦੀ ਮਾਈਨਿੰਗ ਲਈ ਕੋਡ ਵੀ ਸ਼ਾਮਲ ਹੈ।
• NPM ਨੇ 691 ਖਤਰਨਾਕ ਪੈਕੇਜਾਂ ਦੀ ਪਛਾਣ ਕੀਤੀ। ਜ਼ਿਆਦਾਤਰ ਸਮੱਸਿਆ ਵਾਲੇ ਪੈਕੇਜਾਂ ਨੇ ਯਾਂਡੇਕਸ ਪ੍ਰੋਜੈਕਟਾਂ (yandex-logger-sentry, yandex-logger-qloud, yandex-sendsms, ਆਦਿ) ਦਾ ਦਿਖਾਵਾ ਕੀਤਾ ਅਤੇ ਬਾਹਰੀ ਸਰਵਰਾਂ ਨੂੰ ਗੁਪਤ ਜਾਣਕਾਰੀ ਭੇਜਣ ਲਈ ਕੋਡ ਸ਼ਾਮਲ ਕੀਤਾ। ਇਹ ਮੰਨਿਆ ਜਾਂਦਾ ਹੈ ਕਿ ਜਿਨ੍ਹਾਂ ਨੇ ਪੈਕੇਜ ਪੋਸਟ ਕੀਤੇ ਹਨ, ਉਹ ਯਾਂਡੇਕਸ (ਅੰਦਰੂਨੀ ਨਿਰਭਰਤਾ ਨੂੰ ਬਦਲਣ ਦੀ ਵਿਧੀ) ਵਿੱਚ ਪ੍ਰੋਜੈਕਟਾਂ ਨੂੰ ਅਸੈਂਬਲ ਕਰਨ ਵੇਲੇ ਆਪਣੀ ਖੁਦ ਦੀ ਨਿਰਭਰਤਾ ਦੇ ਬਦਲ ਨੂੰ ਪ੍ਰਾਪਤ ਕਰਨ ਦੀ ਕੋਸ਼ਿਸ਼ ਕਰ ਰਹੇ ਸਨ। PyPI ਰਿਪੋਜ਼ਟਰੀ ਵਿੱਚ, ਉਹੀ ਖੋਜਕਰਤਾਵਾਂ ਨੇ 49 ਪੈਕੇਜ (reqsystem, httpxfaster, aio6, gorilla2, httpsos, pohttp, ਆਦਿ) ਲੱਭੇ ਹਨ ਜੋ ਕਿ ਇੱਕ ਬਾਹਰੀ ਸਰਵਰ ਤੋਂ ਇੱਕ ਐਗਜ਼ੀਕਿਊਟੇਬਲ ਫਾਈਲ ਨੂੰ ਡਾਊਨਲੋਡ ਅਤੇ ਚਲਾਉਂਦੇ ਹਨ।

ਸਰੋਤ: opennet.ru