ਰੈਸਟ-ਕਲਾਇੰਟ ਅਤੇ 10 ਹੋਰ ਰੂਬੀ ਪੈਕੇਜਾਂ ਵਿੱਚ ਖਤਰਨਾਕ ਕੋਡ ਖੋਜਿਆ ਗਿਆ

ਇੱਕ ਪ੍ਰਸਿੱਧ ਰਤਨ ਪੈਕੇਜ ਵਿੱਚ ਆਰਾਮ ਗਾਹਕ, ਕੁੱਲ 113 ਮਿਲੀਅਨ ਡਾਉਨਲੋਡਸ ਦੇ ਨਾਲ, ਪਛਾਣ ਕੀਤੀ ਖਤਰਨਾਕ ਕੋਡ (CVE-2019-15224) ਦਾ ਬਦਲ ਜੋ ਐਗਜ਼ੀਕਿਊਟੇਬਲ ਕਮਾਂਡਾਂ ਨੂੰ ਡਾਊਨਲੋਡ ਕਰਦਾ ਹੈ ਅਤੇ ਕਿਸੇ ਬਾਹਰੀ ਹੋਸਟ ਨੂੰ ਜਾਣਕਾਰੀ ਭੇਜਦਾ ਹੈ। ਰਾਹੀਂ ਹਮਲਾ ਕੀਤਾ ਗਿਆ ਸੀ ਸਮਝੌਤਾ rubygems.org ਰਿਪੋਜ਼ਟਰੀ ਵਿੱਚ ਡਿਵੈਲਪਰ ਖਾਤਾ ਆਰਾਮ-ਕਲਾਇੰਟ, ਜਿਸ ਤੋਂ ਬਾਅਦ ਹਮਲਾਵਰਾਂ ਨੇ 13 ਅਤੇ 14 ਅਗਸਤ ਨੂੰ 1.6.10-1.6.13 ਰੀਲੀਜ਼ ਪ੍ਰਕਾਸ਼ਿਤ ਕੀਤੀਆਂ, ਜਿਸ ਵਿੱਚ ਖਤਰਨਾਕ ਤਬਦੀਲੀਆਂ ਸ਼ਾਮਲ ਸਨ। ਖਤਰਨਾਕ ਸੰਸਕਰਣਾਂ ਨੂੰ ਬਲੌਕ ਕੀਤੇ ਜਾਣ ਤੋਂ ਪਹਿਲਾਂ, ਲਗਭਗ ਇੱਕ ਹਜ਼ਾਰ ਉਪਭੋਗਤਾ ਉਹਨਾਂ ਨੂੰ ਡਾਉਨਲੋਡ ਕਰਨ ਵਿੱਚ ਕਾਮਯਾਬ ਹੋਏ (ਹਮਲਾਵਰਾਂ ਨੇ ਧਿਆਨ ਖਿੱਚਣ ਲਈ ਪੁਰਾਣੇ ਸੰਸਕਰਣਾਂ ਲਈ ਅੱਪਡੇਟ ਜਾਰੀ ਕੀਤੇ)।

ਗਲਤ ਤਬਦੀਲੀ ਕਲਾਸ ਵਿੱਚ "# ਪ੍ਰਮਾਣਿਤ" ਵਿਧੀ ਨੂੰ ਓਵਰਰਾਈਡ ਕਰਦੀ ਹੈ
ਪਛਾਣ, ਜਿਸ ਤੋਂ ਬਾਅਦ ਹਰ ਵਿਧੀ ਕਾਲ ਦੇ ਨਤੀਜੇ ਵਜੋਂ ਹਮਲਾਵਰਾਂ ਦੇ ਮੇਜ਼ਬਾਨ ਨੂੰ ਭੇਜੇ ਜਾਣ ਦੀ ਪ੍ਰਮਾਣਿਕਤਾ ਕੋਸ਼ਿਸ਼ ਦੌਰਾਨ ਈਮੇਲ ਅਤੇ ਪਾਸਵਰਡ ਭੇਜਿਆ ਜਾਂਦਾ ਹੈ। ਇਸ ਤਰ੍ਹਾਂ, ਆਈਡੈਂਟਿਟੀ ਕਲਾਸ ਦੀ ਵਰਤੋਂ ਕਰਨ ਵਾਲੇ ਸੇਵਾ ਉਪਭੋਗਤਾਵਾਂ ਦੇ ਲੌਗਇਨ ਪੈਰਾਮੀਟਰ ਅਤੇ ਬਾਕੀ-ਕਲਾਇੰਟ ਲਾਇਬ੍ਰੇਰੀ ਦੇ ਕਮਜ਼ੋਰ ਸੰਸਕਰਣ ਨੂੰ ਸਥਾਪਿਤ ਕਰਨ ਲਈ ਰੋਕਿਆ ਜਾਂਦਾ ਹੈ, ਜੋ ਫੀਚਰਡ ਬਹੁਤ ਸਾਰੇ ਪ੍ਰਸਿੱਧ ਰੂਬੀ ਪੈਕੇਜਾਂ ਵਿੱਚ ਨਿਰਭਰਤਾ ਦੇ ਤੌਰ 'ਤੇ, ਜਿਸ ਵਿੱਚ ast (64 ਮਿਲੀਅਨ ਡਾਊਨਲੋਡ), oauth (32 ਮਿਲੀਅਨ), ਫਾਸਟਲੇਨ (18 ਮਿਲੀਅਨ), ਅਤੇ kubeclient (3.7 ਮਿਲੀਅਨ) ਸ਼ਾਮਲ ਹਨ।

ਇਸ ਤੋਂ ਇਲਾਵਾ, ਕੋਡ ਵਿੱਚ ਇੱਕ ਬੈਕਡੋਰ ਜੋੜਿਆ ਗਿਆ ਹੈ, ਜਿਸ ਨਾਲ ਆਰਬਿਟਰੇਰੀ ਰੂਬੀ ਕੋਡ ਨੂੰ eval ਫੰਕਸ਼ਨ ਦੁਆਰਾ ਚਲਾਇਆ ਜਾ ਸਕਦਾ ਹੈ। ਕੋਡ ਨੂੰ ਹਮਲਾਵਰ ਦੀ ਕੁੰਜੀ ਦੁਆਰਾ ਪ੍ਰਮਾਣਿਤ ਕੂਕੀ ਦੁਆਰਾ ਪ੍ਰਸਾਰਿਤ ਕੀਤਾ ਜਾਂਦਾ ਹੈ। ਹਮਲਾਵਰਾਂ ਨੂੰ ਕਿਸੇ ਬਾਹਰੀ ਹੋਸਟ 'ਤੇ ਖਤਰਨਾਕ ਪੈਕੇਜ ਦੀ ਸਥਾਪਨਾ ਬਾਰੇ ਸੂਚਿਤ ਕਰਨ ਲਈ, ਪੀੜਤ ਦੇ ਸਿਸਟਮ ਦਾ URL ਅਤੇ ਵਾਤਾਵਰਣ ਬਾਰੇ ਜਾਣਕਾਰੀ ਦੀ ਇੱਕ ਚੋਣ, ਜਿਵੇਂ ਕਿ DBMS ਅਤੇ ਕਲਾਉਡ ਸੇਵਾਵਾਂ ਲਈ ਸੁਰੱਖਿਅਤ ਕੀਤੇ ਪਾਸਵਰਡ, ਭੇਜੇ ਜਾਂਦੇ ਹਨ। ਕ੍ਰਿਪਟੋਕੁਰੰਸੀ ਮਾਈਨਿੰਗ ਲਈ ਸਕ੍ਰਿਪਟਾਂ ਨੂੰ ਡਾਊਨਲੋਡ ਕਰਨ ਦੀਆਂ ਕੋਸ਼ਿਸ਼ਾਂ ਉੱਪਰ ਦੱਸੇ ਗਏ ਖਤਰਨਾਕ ਕੋਡ ਦੀ ਵਰਤੋਂ ਕਰਕੇ ਰਿਕਾਰਡ ਕੀਤੀਆਂ ਗਈਆਂ ਸਨ।

ਖਤਰਨਾਕ ਕੋਡ ਦਾ ਅਧਿਐਨ ਕਰਨ ਤੋਂ ਬਾਅਦ ਇਹ ਸੀ ਪ੍ਰਗਟ ਕੀਤਾਵਿੱਚ ਸਮਾਨ ਤਬਦੀਲੀਆਂ ਮੌਜੂਦ ਹਨ 10 ਪੈਕੇਜ ਰੂਬੀ ਰਤਨ ਵਿੱਚ, ਜੋ ਕਿ ਕੈਪਚਰ ਨਹੀਂ ਕੀਤੇ ਗਏ ਸਨ, ਪਰ ਹਮਲਾਵਰਾਂ ਦੁਆਰਾ ਵਿਸ਼ੇਸ਼ ਤੌਰ 'ਤੇ ਸਮਾਨ ਨਾਵਾਂ ਵਾਲੀਆਂ ਹੋਰ ਪ੍ਰਸਿੱਧ ਲਾਇਬ੍ਰੇਰੀਆਂ ਦੇ ਅਧਾਰ ਤੇ ਤਿਆਰ ਕੀਤੇ ਗਏ ਸਨ, ਜਿਸ ਵਿੱਚ ਡੈਸ਼ ਨੂੰ ਅੰਡਰਸਕੋਰ ਜਾਂ ਉਲਟ ਨਾਲ ਬਦਲਿਆ ਗਿਆ ਸੀ (ਉਦਾਹਰਣ ਲਈ, ਇਸ ਦੇ ਅਧਾਰ ਤੇ cron-parser ਇੱਕ ਖਤਰਨਾਕ ਪੈਕੇਜ cron_parser ਬਣਾਇਆ ਗਿਆ ਸੀ, ਅਤੇ ਇਸ 'ਤੇ ਅਧਾਰਿਤ ਹੈ doge_coin doge-coin ਖਤਰਨਾਕ ਪੈਕੇਜ). ਸਮੱਸਿਆ ਪੈਕੇਜ:

• coin_base: 4.2.2, 4.2.1
• blockchain_wallet: 0.0.6, 0.0.7
• awesome-bot: 1.18.0
• doge-ਸਿੱਕਾ: 1.0.2
• capistrano-ਰੰਗ: 0.5.5
• bitcoin_vanity: 4.3.3
• lita_coin: 0.0.3
• ਆਨ ਵਾਲੀ: 0.2.8
• omniauth_amazon: 1.0.1
• cron_parser: 1.0.12, 1.0.13, 0.1.4

ਇਸ ਸੂਚੀ ਵਿੱਚੋਂ ਪਹਿਲਾ ਖਤਰਨਾਕ ਪੈਕੇਜ 12 ਮਈ ਨੂੰ ਪੋਸਟ ਕੀਤਾ ਗਿਆ ਸੀ, ਪਰ ਇਹਨਾਂ ਵਿੱਚੋਂ ਜ਼ਿਆਦਾਤਰ ਜੁਲਾਈ ਵਿੱਚ ਪ੍ਰਗਟ ਹੋਏ ਸਨ। ਕੁੱਲ ਮਿਲਾ ਕੇ, ਇਹ ਪੈਕੇਜ ਲਗਭਗ 2500 ਵਾਰ ਡਾਊਨਲੋਡ ਕੀਤੇ ਗਏ ਸਨ।

ਸਰੋਤ: opennet.ru