मागील भागात, ओपन सोर्समधील दुर्भावनापूर्ण पॅकेजेस: समस्याआम्ही चर्चा केली की धोकादायक घटक इतके का होते नवीन दुर्भावनापूर्ण घटक प्रकाशित करण्यास किंवा विद्यमान घटकांच्या नवीनतम आवृत्त्यांमध्ये मालवेअर टाकण्यास उत्सुक: ओपन सोर्स पायाभूत सुविधा कोणालाही, कोठेही एक तात्पुरते खाते तयार करण्याची परवानगी देते. एखाद्या कॉम्पोनेंट रजिस्ट्रीमध्ये (जसे की NPM, PyPI, Docker Hub किंवा Visual Studio Marketplace) किंवा सहयोगी विकास प्लॅटफॉर्मवर (जसे की GitHub). कोणताही खर्च नाही, आणि सॉफ्टवेअर टीम्सचा थर्ड-पार्टी कॉम्पोनेंट्सवर पारंपरिकरित्या असलेल्या अतिरिक्त विश्वासाचा फायदा घेण्यासाठी अनेक संधी.
ओपन सोर्ससाठी उपलब्ध असलेल्या पायाभूत सुविधांचा वापर करून हल्लेखोरांना मालवेअर पसरवणे किती सोपे आहे, आणि सॉफ्टवेअर विकसित करणाऱ्या संस्थांना (किंवा सर्वांनाच?) मालवेअरचा संसर्ग टाळणे (आणि ते इतरांसाठी वितरित करत असलेल्या सॉफ्टवेअरमध्ये मालवेअर पोहोचवणे) किती कठीण आहे, यांमधील विषमतेमुळे गेल्या वर्षी दुर्भावनापूर्ण पॅकेजेसचा आकडा जवळपास अडीच लाखांपर्यंत पोहोचला.
ही एक इतक्या मोठ्या प्रमाणावरची समस्या आहे की कोणतीही एक संस्था ती सोडवू शकत नाही, आणि विश्वास, 'सिक्युअर-बाय-डिफॉल्ट' व 'सिक्युअर-बाय-डिझाइन' तत्त्वे, तसेच घटकांचे जीवनचक्र या संदर्भात ओपन सोर्स प्रक्रियेची पुनर्रचना करण्याची प्रक्रिया समुदायात सुरू आहे. पुढील भागात आपण अशाच संकल्पनांचा आढावा घेऊ. ओपन सोर्स दुर्भावनापूर्ण पॅकेजेसपासून संरक्षण: काय (आणि काय नाही) प्रभावी ठरते.
लक्षात ठेवा की आपण अशा सॉफ्टवेअर घटकांबद्दल बोलत आहोत जे बहुतेक वेळा संबंधित असतात सॉफ्टवेअर पॅकेजेस: पुन्हा वापरता येण्याजोगे घटक जे अशा प्रकारे पॅक केलेले आहेत की त्यांना सॉफ्टवेअर मॅनिफेस्टमध्ये डिपेंडन्सी म्हणून संदर्भित केले जाऊ शकते, आणि पॅकेज मॅनेजर किंवा बिल्ड टूलद्वारे इन्स्टॉल केले जाऊ शकते. कृपया लक्षात घ्या की या केसमध्ये सार्वजनिक घटकांचा समावेश करण्यासाठी विस्तार केला जाऊ शकतो. कंटेनर प्रतिमा (कुबरनेट्स सारख्या कंटेनर रनटाइम आणि ऑर्केस्ट्रेशन प्लॅटफॉर्मद्वारे वापरले जाते), आणि सॉफ्टवेअर साधनांचे विस्तार (बांधणी, स्वयंचलन आणि उपयोजनासाठी).
येथे आपण याचे विश्लेषण करू. दुर्भावनापूर्ण घटकांवर आधारित हल्ला करण्याची रणनीती मागील उदाहरणांनुसार आणि मालवेअर अर्ली वॉर्निंगसाठी आमच्या प्लॅटफॉर्मवर आम्ही जे पाहिले आहे त्यानुसार, हे काम करते. (MEW). आपण दुर्भावनापूर्ण घटकांचे विविध आयामांमध्ये विश्लेषण करू:
(1) वितरणासाठी निवडलेली पद्धत (नवीन किंवा विद्यमान घटकामध्ये वापरलेली रजिस्ट्री, आणि प्रकाशित केलेल्या घटक आवृत्तीला संक्रमित करण्यासाठी वापरलेले तंत्र), (२) मालवेअर कसा सक्रिय किंवा कार्यान्वित होतो, (३) दुर्भावनापूर्ण वर्तन म्हणजेच कोणत्या हानिकारक कृती दिसून येतात आणि हल्लेखोराची प्रेरणा काय असते, (४) अस्पष्टीकरण, लक्षात न येण्यासाठी लपणे, लॅटरल मूव्हमेंट, कमांड अँड कंट्रोल (C2) होस्ट्सशी संवाद साधणे इत्यादींसाठी कोणती तंत्रे सामान्यपणे वापरली जातात; आणि (५) पुरेशी लोकप्रियता आणि विश्वास मिळवण्यासाठी वापरली जाणारी तंत्रे, जेणेकरून पीडित व्यक्ती अखेरीस तो घटक स्थापित करतील.
निवडलेली वितरण यंत्रणा
आपण निरीक्षण करतो “पार्श्वभूमी आवाज” हे एक असे दुर्भावनापूर्ण पॅकेज आहे, जे आपल्या डिपेंडन्सीच्या पॅकेजच्या नावात चुकीची टायपिंग करून, टायपोस्क्वॉटिंगचा वापर करून गाफील डेव्हलपर्सना फिशिंग करते. अनेक लोकप्रिय पॅकेजेसवर, त्याच नावाच्या आणि टायपिंगमध्ये चुका असलेल्या अनेक पॅकेजेसचा भडीमार केला जातो, या अपेक्षेने की ते काही गाफील डेव्हलपर्सना फिशिंग करतील.
ते एक तात्पुरते खाते वापरतात, टायपोस्क्वॅट पॅकेजेसचा एक गट प्रकाशित करतात, दुसरा तयार करतात आणि आणखी एक गट प्रकाशित करतात… थोडे ऑटोमेशन आणि कल्पकता वापरून ते यात काही प्रमाणात अत्याधुनिकता आणू शकतात, पण सामान्यतः ते अगदीच सामान्य असतात. आम्ही त्यांना अंतर्गतरीत्या “एन्कोव्हीजक्रेडेन्शियल्स चोरणे हे मुख्य उद्दिष्ट आहे, परंतु कधीकधी स्पायवेअर सोर्स कोड किंवा वैयक्तिक ओळखण्यायोग्य माहिती (PII), क्लिपबोर्ड कॅप्चर आणि इतर संशयास्पद गोष्टींसारखा संवेदनशील डेटा बाहेर काढताना आढळतो.
अचानकपणे आपल्याला अधिक अत्याधुनिक दुर्भावनापूर्ण घटक, म्हणजेच “शार्क्स”, दिसून येतात. यांपैकी अल्पसंख्याक घटक विशिष्ट गट किंवा संस्थांना लक्ष्य करतात, सामान्यतः क्रिप्टो ड्रेनर्स किंवा वेब स्किमर्सच्या माध्यमातून, जे विशिष्ट परिस्थितीत सक्रिय होतात, कदाचित त्याच पद्धतीचा अवलंब करून जी पूर्वी दिसून आली होती. घटना-प्रवाह घटना जेव्हा लक्ष्य पॅकेजमधून पॅकेजचा संदर्भ दिला जातो तेव्हाच हल्ल्याचा पेलोड डिक्रिप्ट करण्याची.
वितरण यंत्रणेचे विश्लेषण “ या उत्कृष्ट आणि आता अभिजात मानल्या जाणाऱ्या शोधनिबंधात करण्यात आले.विश्वासघातक्याच्या सुऱ्यांचा संग्रह: ओपन सोर्स सॉफ्टवेअर पुरवठा साखळी हल्ल्यांचा आढावा”, जे वाचायलाच हवे. हा छान तक्ता तुम्ही यापूर्वी नक्कीच पाहिला असेल:
सर्व मार्गांचा शोध घेण्यात आला, ज्यात नवीन आणि विद्यमान पॅकेजेस; सोर्स कोड, बिल्ड सिस्टीम किंवा प्रत्यक्ष पॅकेज केलेल्या घटकावर परिणाम करणे; चोरलेली क्रेडेन्शियल्स किंवा सोशल इंजिनिअरिंगचा वापर करणे; सोडून दिलेली खाती आणि रिपॉझिटरीज हायजॅक करणे किंवा सुस्थितीत असलेल्यांना दूषित करणे यांचा समावेश होता. काही हल्ल्यांना नावे देण्यात आली (टायपोस्वॅटिंग, अवलंबित्व गोंधळ, स्पष्ट गोंधळ, रेपो-जॅकिंगइत्यादी) आणि त्यावर इतरत्र आधीच चर्चा झाली होती.
निवडलेल्या नोंदणींबद्दल काय?
दुर्भावनापूर्ण पॅकेजेसच्या एकूण संख्येत NPM आघाडीवर आहे, परंतु या वर्षाच्या सुरुवातीपासून PyPI वर त्यात मोठी वाढ दिसून आली. पायथॉन ही डेटा सायन्स आणि मशीन लर्निंगसाठी एक लोकप्रिय इकोसिस्टम आहे. खरे तर, आता NPM पेक्षा PyPI मध्ये मालवेअरची घनता जास्त आहे.
मालवेअर कसा सक्रिय होतो
१० पैकी केवळ ४ प्रकरणांमध्ये इन्स्टॉलेशन दरम्यान दुर्भावनापूर्ण पॅकेजेस कार्यान्वित होतात (अलीकडच्या वर्षांत हे प्रमाण १० पैकी जवळपास ६ होते). उर्वरित प्रकरणांमध्ये रनटाइमवर दुर्भावनापूर्ण वर्तन चालते, ज्यापैकी १०० पैकी १ प्रकरण चाचण्या चालवताना कार्यान्वित होते. हल्लेखोरांना हे माहीत असल्याचे दिसते की, अनेक ठिकाणी इन्स्टॉलेशन स्क्रिप्ट्सची अनियंत्रित अंमलबजावणी अक्षम करण्यात आली होती.
वाईट लोकांना काय मिळत आहे?
आम्ही दुर्भावनापूर्ण वर्तणुकीच्या श्रेणींची यादी, सर्वात लोकप्रिय श्रेणी प्रथम ठेवून देऊ. कृपया लक्षात घ्या की परिणाम खूप वेगळा असू शकतो: वाइपर हे हट्टीपणे विध्वंसक आहे, परंतु ते सामान्य नाही आणि लक्ष्यित सायबर युद्ध मोहिमा किंवा क्रूर हॅक्टिव्हिझमशी संबंधित काही प्रकरणांमध्येच दिसून आले आहे. खालील श्रेणी बऱ्यापैकी सामान्य आहेत:
- इन्फोस्टीलर / क्रेडेन्शियल ड्रेनरआतापर्यंत सर्वात जास्त आढळणारे, ९०% पेक्षा जास्त साधे हल्ले हे प्रामुख्याने पासवर्ड, ऍक्सेस टोकन, API की आणि प्रायव्हेट की (SSH आणि तत्सम गोष्टींसाठी) यांसारखी क्रेडेन्शियल्स शोधणाऱ्या साध्या स्टीलर्सचे असतात. हे (वायपर्ससोबत?) लिहिण्यास कदाचित सर्वात सोपे आहे. ते ज्ञात फाइल्स/डिरेक्टरीज आणि इतर स्त्रोतांची (उदा. रजिस्ट्री की) यादी करतात, त्यातील सामग्री पॅकेज करतात आणि तो डेटा C2 सर्व्हरवर पाठवतात. यामागील कल्पना सोपी आहे: “मी क्रेडेन्शियल्स फिशिंगसाठी एक स्टीलर प्रकाशित करतो, जेणेकरून मी नंतर त्या क्रेडेन्शियल्सचा वापर करून एक निर्देशित हल्ला करू शकेन”.
निरीक्षण केलेले C2 नेटवर्किंग सामान्यतः स्वस्त आणि अव्यवस्थित असते, जसे की टेलिग्राम चॅनेल किंवा एनग्रोक-सारखी बोगदा खोदण्याची साधने (बहुतेकदा VPN इग्रेस IPs द्वारे उघड केलेल्या रिव्हर्स प्रॉक्सीच्या स्वरूपात). शेकडो (!) शक्यता आहेत, आणि GitHub वर अनेक प्रकल्प उपलब्ध आहेत. पासवर्ड चोरणारा विषयकीलॉगरसारखी वैशिष्ट्ये दुर्भावनापूर्ण पॅकेजेस आणि कंटेनर इमेजेसमध्ये दुर्मिळ असतात, परंतु टूल एक्सटेंशन्समध्ये अधिक प्रमाणात आढळतात, जिथे वापरकर्त्याच्या परस्परसंवादाची अपेक्षा असते.
- ड्रॉपर / डाउनलोडरलोकप्रियतेत दुसऱ्या क्रमांकावर, बहु-टप्प्यांच्या हल्ल्यांमध्ये सामान्यतः प्रथम येतो. तीनपैकी एकापेक्षा जास्त दुर्भावनापूर्ण घटकांमध्ये ड्रॉपर्स (जर दुर्भावनापूर्ण पेलोड पॅकेजमध्येच समाविष्ट असेल तर) किंवा डाउनलोडर्स (पेलोड हल्लेखोराच्या नियंत्रणाखाली असलेल्या एंडपॉइंटवरून डाउनलोड केला जातो) असतात. पेलोड अनेकदा एक ज्ञात बायनरी मालवेअर प्रकार असतो, आणि तो बॅकडोअर्स, स्पायवेअर, क्रिप्टो ड्रेनर्स आणि इतर उपयोगांसाठी चालवला जातो व काहीवेळा टिकवून ठेवला जातो. डाउनलोड केलेला किंवा तैनात केलेला पेलोड, विद्यमान मालवेअर बायनरीजद्वारे प्रदान केलेल्या सर्व शक्तीसह दुसऱ्या टप्प्यातील हल्ला सुरू करतो. अनपेक्षित साइट्सशी कनेक्ट होताना ओळख टाळण्यासाठी, बायनरीज पॅकेजमध्ये वितरित केल्या जाऊ शकतात, अनेकदा इमेजेस किंवा वरवर पाहता निरुपद्रवी वाटणाऱ्या फाईल प्रकारांच्या रूपात लपवलेल्या असतात.
- क्रिप्टोकरन्सी चोरणारे / मायनर्सआर्थिक हेतू असलेले विरोधक क्रिप्टोमायनर्स चालवण्यासाठी तुमच्या क्लाउड मालमत्तेचा वापर करण्यास तयार असतात (ते क्लाउड व्हीएममध्ये चालत आहे की नाही हे देखील तपासतात). त्यांना याची पर्वा नसते की... कमी नफा गुणोत्तर चोरलेल्या क्लाउड इन्फ्रास्ट्रक्चरसाठी पीडिताकडून आकारलेल्या प्रत्येक $53 वर $1 आकारला जातो. जोपर्यंत पीडितांना अनपेक्षित बिल मिळत नाही, तोपर्यंत त्यांना याची जाणीव नसते. सुदैवाने, हे शुल्क अधूनमधून आकारले जाते. क्रिप्टोजॅकिंग दुर्भावनापूर्ण पॅकेजमधील मोहिमा अधूनमधून दिसतात आणि नंतर नाहीशा होतात, ज्या वॉलेट वापरकर्त्यांना फिशिंग करतात किंवा अखेरीस वॉलेट प्रदात्याला लक्ष्य करतात, जसे की लेजर हल्ला.
इतर वर्तन, जसे की तैनात करणे नोकरी रिव्हर्स शेल उघडून रिमोट कोड कार्यान्वित करण्याचे प्रकार आता पूर्वीपेक्षा कमी प्रमाणात घडतात. उदाहरणार्थ, १२३आरएफ_कंट्रीब्यूटर_वेब पॅकेज (जे आता रजिस्ट्रीमधून काढून टाकले आहे) कोणत्याही अडथळ्याशिवाय, कॉपी-पेस्ट केलेला रिव्हर्स शेल उघडते. रिव्हर्स शेल चीट शीट:
वैध आणि दुर्भावनापूर्ण घटकांव्यतिरिक्त, आम्हाला अनेक गैरवापर आढळून आले आहेत, ज्यामध्ये खालील गोष्टींचा समावेश आहे:
स्पॅम पॅकेजेस
एनपीएममध्ये हजारो लहान पॅकेजेस आहेत, ज्यात कोणताही मालवेअर नसतो, पण सहज कमाईचे आमिष, फसवी औषधे, व्हायग्राच्या ऑफर्सच्या लिंक्स आणि यांसारख्या गोष्टींचे आश्वासन दिले जाते. काही वापरकर्ते असा स्पॅम प्रकाशित करतात आणि रजिस्ट्रीची बरीच बँडविड्थ वापरतात. इंडोनेशियातील आणखी एका व्यक्तीने फायदा मिळवण्याचा प्रयत्न केला. टीरँकचा गैरवापर करणे ओपन-सोर्स डेव्हलपर्सना मोबदला देण्याच्या उद्देशाने, संबंधित GitHub डमी रिपॉझिटरीजसह हजारो परस्परसंबंधित NPM पॅकेजेस तयार करणे, हे वापराच्या अटींचे स्पष्ट उल्लंघन आहे.
बग बाऊंटी आणि सुरक्षा संशोधन अफवा
जेव्हा एखादे पॅकेज स्वतःला चांगल्या हेतूंसाठी डेटा बाहेर काढणारे (exfiltrate) म्हणून वर्णन करते, जसे की बग बाऊंटी प्रोग्रामसाठी सुरक्षा त्रुटी शोधणे किंवा इकोसिस्टमच्या विशिष्ट पैलूंवर संशोधन करणे. आम्ही या श्रेणीतील हजारो पॅकेजेस पाहिली आहेत, जी पोर्टस्विगरवरून (उदा. oastify.com डोमेनमधील होस्ट) एका बurp कोलॅबोरेटर ॲड्रेसवर ओळख पटवणारा, पण फारसा संवेदनशील नसलेला डेटा आणतात. आम्ही अनेकदा याच्या नक्कल करणाऱ्यांचे (copycats) अस्तित्व पाहिले आहे. अवलंबित्व गोंधळ अॅलेक्स बिरसान यांचे प्रूफ-ऑफ-कॉन्सेप्ट, जसे की ऑरोरा-वेबमेल-प्रो पॅकेज (रजिस्ट्रीमधून काढून टाकलेले), जे प्री-इन्स्टॉल स्क्रिप्टमध्ये फक्त हा त्रासदायक कोड चालवते:
आणि त्यात " चा देखील समावेश होताहा साध्या डिपेंडन्सी कन्फ्युजन अटॅकचा प्रूफ ऑफ कॉन्सेप्ट आहे."अस्वीकरण वर्णन package.jsonवाईट हेतू नसला तरीही, हे सेवाशर्तींचे स्पष्ट उल्लंघन आहे.
एक चांगली बातमी? दुर्भावनापूर्ण घटकांमार्फत होणारे रॅन्समवेअर हल्ले (अद्याप) दिसून आलेले नाहीत. अज्ञात कारणांमुळे, सायबर गुन्हेगार अधिक पारंपरिक ईमेल फिशिंग, आरडीपी-आधारित आणि ड्राइव्ह-बाय डाउनलोड वितरण पद्धतींना प्राधान्य देत असल्याचे दिसते.
निरीक्षण केलेली अतिरिक्त तंत्रे
सातत्य राखणे, संरक्षण चुकवणे, माहिती गोळा करणे, कमांड आणि कंट्रोल होस्टशी संवाद साधणे आणि माहिती बाहेर काढणे यासाठी अनेक तंत्रांचा वापर करण्यात आला.
चिकाटी दुर्भावनापूर्ण घटकांमधील माहिती दुसऱ्या टप्प्यातील बायनरी मालवेअरमधील सातत्य वैशिष्ट्यांचा वापर करून मिळवली जाते, परंतु कधीकधी ही कार्यपद्धती पॅकेज कोडमध्ये आढळते, ज्यामध्ये नियोजित कार्ये आणि विंडोज रजिस्ट्रीमधील बदल हे सर्वात सामान्य आहेत.
विश्रांती सामान्य आहे, पण असंस्कृत आहे. बहुतेक टायपोस्क्वॉटिंग पॅकेजेस (लक्षात ठेवा “एन्कोव्हीज”?) ऑबफस्केशनचा (obfuscation) अजिबात वापर करत नाहीत; बरेच जण एकतर सामान्य पद्धती (बेस64/हेक्स एन्कोडिंग किंवा rot13 सारखे सब्स्टिट्यूशन सायफर्स) वापरतात किंवा उपलब्ध कोड ऑबफस्केटर्स आणि मिनिफीकेशनचा वापर करतात, जे योग्य साधनांच्या साहाय्याने सहजपणे रिव्हर्स-इंजिनिअर केले जाऊ शकते. फक्त 'शार्क्स'च खरे, हार्ड-कोअर ऑबफस्केशन करतात, जे रिव्हर्स-इंजिनिअर करणे कठीण असते.
ऑबफस्केशनमुळे हल्ला लपवला जाऊ शकतो, पण ओपन-सोर्स घटकातील कोडला ऑबफस्केट करण्याची गरज का भासेल? एखादी गोष्ट उघडपणे दिसण्यापासून लपवण्याची गरज आहे, याचा काही पुरावा आहे का? आम्हाला अशी अनेक उदाहरणे आढळली आहेत, जिथे निरुपद्रवी पॅकेजेस बौद्धिक मालमत्तेचे संरक्षण करण्यासाठी ऑबफस्केशनचा वापर करतात, जे 'ओपन सोर्स'च्या विरोधात आहे. ऑबफस्केशनचा वापर मालवेअरचा पुरावा म्हणून केला जाऊ शकतो, पण तो निर्णायक नसतो. तसेच, एकदा उघड केल्यावर ते मूळ स्वरूपात आणणे (डी-ऑबफस्केट करणे) देखील कठीण असते.
चुकवणे संरक्षणात्मक नियंत्रणे सोप्या तंत्रांचा अवलंब करतात. दुर्भावनापूर्ण कोड अनेकदा संरक्षित असतो. प्रयत्न करा … पकडा असे ब्लॉक्स जे कोणत्याही अपवादांकडे दुर्लक्ष करतात, त्यामुळे असामान्य क्रियाकलाप लॉगमध्ये दिसत नाही. एखाद्या विशिष्ट संस्थेला किंवा वातावरणाला लक्ष्य करणाऱ्या मालवेअरचा अपवाद वगळता, वातावरणाची (VM किंवा कंटेनरमध्ये चालणाऱ्या) पडताळणी क्वचितच केली जाते.
प्रतिमा आणि पीडीएफ फाइल्समध्ये बायनरी फाइल्स लपवणे (एक प्रकारची स्टेगनोग्राफी) हे पकडले जाण्यापासून वाचण्याचे आणखी एक तंत्र असल्याचे दिसून आले.
सर्वात सामान्य दुर्भावनापूर्ण घटक माहिती चोरणारे असल्याने, माहिती संकलन हे अत्यावश्यक आहे. गुप्त माहिती (पासवर्ड, ऍक्सेस टोकन, API की, क्रिप्टोग्राफिक की) लॉग फाइल्स, एन्व्हायर्नमेंट व्हेरिएबल्स आणि अगदी क्लिपबोर्डमध्येही नियमितपणे स्कॅन केली जाते (हे बँकिंग ट्रोजन्स आणि क्रिप्टो स्टीलर्समध्ये दिसून आले आहे). सोर्स कोडची चोरी (एक्सफिल्ट्रेशन) देखील सामान्य आहे, कारण पॅकेज इन्स्टॉलेशन अनेकदा डेव्हलपमेंट नोडमध्ये केले जाते, जिथे अंतर्गत गिट रिपॉझिटरीज क्लोन केल्या जाऊ शकतात. आम्ही पाहिले आहे की पॅकेजेस गिट रिपॉझिटरीजच्या शोधात डिरेक्टरीजची यादी करतात. .env, private.pem, settings.py, app.js, किंवा application.properties सारखी ठिकाणे शोधणे हे अगदी सामान्य आहे.
डेटा बाहेर काढणे ही आणखी एक मोठ्या प्रमाणावर वापरली जाणारी कृती आहे. केवळ काही मोजकेच दुर्भावनापूर्ण पॅकेजेस काढलेल्या डेटाचे अंतिम ठिकाण लपवण्याचा प्रयत्न करतात. टेलिग्राम चॅनेल्स आणि न्ग्रोकसारखे बोगदे नेहमी वापरले जातात. आणि असे बरेच आहेत सामान्यतः माहिती बाहेर काढण्यासाठी वापरले जाणारे व्हाइटलिस्टेड डोमेन्स.
विशेषाधिकार वाढवणे किंवा समकक्ष पदावर जाणे यांसारखी इतर तंत्रे कमी प्रचलित होती.
लोकप्रियता आणि विश्वास मिळवणे
कल्पना करा की, एका तंत्रज्ञान क्षेत्रातील चोराकडे एक तयार, अत्यंत घातक आणि घातक गोष्ट आहे आणि तो विचार करत आहे: “या भंगार गोष्टीला त्या भोळ्याभाबड्या मूर्खांसाठी विश्वासार्ह कसं बनवायचं?”.
याचा अर्थ असा होतो की, दुर्भावनापूर्ण घटकाच्या नोंदीमध्ये लोकप्रियतेसाठी अनेक स्टार्स / फोर्क्स, तसेच आवृत्त्या / समस्या कशा दाखवायच्या. pull requests (सक्रियतेसाठी). यामागील कल्पना म्हणजे काल्पनिक लोकप्रियता (तारे) आणि आश्रित मिळवणे, तसेच प्रासंगिकता आणि टिकून राहण्याबाबत एक विश्वासार्ह स्वरूप निर्माण करणे.
रजिस्ट्री हे तपासत नाही की गिटहब प्रोजेक्टमधील सामग्री आणि पॅकेजमधील सामग्री जुळते की नाही.सॉफ्टवेअर पुरवठा साखळीमधील ही एक सर्वज्ञात समस्या आहे. सार्वजनिक रजिस्ट्रिज म्हणजे प्रचंड खड्डे आहेत, जे त्यांच्याकडे टाकलेली प्रत्येक गोष्ट गिळंकृत करतात. तुम्ही कोणतेही रिपॉझिटरी लिंक करू शकता.
जर एखादे दुर्भावनापूर्ण पॅकेज चुकीच्या पद्धतीने एखाद्या लोकप्रिय रिपॉझिटरीचा वापर करत असेल, तर ते सोपे आहे: फक्त पॅकेज तयार करण्यासाठी आणि ते रजिस्ट्रीमध्ये प्रकाशित करण्यासाठी वापरलेल्या डिपेंडेंसीज मॅनिफेस्टमध्ये विद्यमान GitHub रिपॉझिटरीचा संदर्भ द्या. बनावट GitHub रिपोवरील नवीन पॅकेजेससाठी, तुम्हाला अधिक कल्पकतेची आवश्यकता असू शकते, कदाचित बनावट रिपॉझिटरी तयार करून. तारे पाहणे/काटा काढणे स्क्रिप्टिंगद्वारे गिटहब खाती.
आणि जर तुमच्या पॅकेजमधील सामग्री रेपोशी बऱ्यापैकी मिळतीजुळती असेल, तर त्यात इकडे तिकडे काही विचारपूर्वक केलेले बदल गुपचूप करा… तुम्ही तुमचा मालवेअर, आधीपासून अस्तित्वात असलेल्या रेपॉजिटरीचा संदर्भ देणाऱ्या, एखाद्या लोकप्रिय पॅकेजसारख्या दिसणाऱ्या नवीन पॅकेजमध्ये टाकू शकता आणि टायपिंगमधील चुकांची वाट पाहू शकता. जर कोणी पॅकेज टारबॉलमधील सामग्रीची गिटहब रेपॉजिटरीमधील सामग्रीशी तुलना करण्याचे धाडस केले, तर मालवेअर टाकण्याच्या ठिकाणचे फरक सहजपणे नजरेतून सुटू शकतात. आम्ही हा दृष्टिकोन यापूर्वी अनेक वेळा पाहिला आहे.
एखाद्या घटकाला त्याच्या उगमाबद्दल, ते पॅकेज कसे, कोणत्या स्त्रोतांकडून आणि कोणाद्वारे तयार केले गेले, याबद्दल छेडछाड-प्रूफ विधान करण्याची यंत्रणा स्वागतार्ह ठरेल. पण तो एक वेगळाच विषय आहे.
घटक X मालवेअर आहे का?
दुर्भावनापूर्ण पॅकेजेसचा (सर्वसमावेशक) डेटाबेस आहे का? नाही. ओपन-सोर्स असुरक्षिततांना एक CVE आयडी दिला जातो, परंतु फक्त काही दुर्भावनापूर्ण पॅकेजेसना (विशेषतः जे चर्चेत येतात) तो दिला जातो. दुर्भावनापूर्ण पॅकेजेससाठी CWE आहे CWE-506 (अंतर्भूत दुर्भावनापूर्ण कोड).
सर्वसाधारण मालवेअर रोधक साधनांमध्ये (व्हायरसटोटल, मालवेअरबझार, सोरेल-२०एम…) घातक घटकांसाठी कोणतीही विशिष्ट तरतूद नसते. तशी तरतूद असती तर बरे झाले असते!
विश्लेषणासाठी संशोधन नमुना डेटाबेस आणि डेटासेट उपलब्ध आहेत (आम्ही त्यांपैकी काही वापरतो), परंतु त्यातील नोंदी केवळ दुर्भावनापूर्ण पॅकेजची माहिती मिळाल्यावरच अद्ययावत केल्या जातात, आणि तोपर्यंत बऱ्याचदा खूप उशीर झालेला असतो. जर तुम्हाला यात रस असेल, तर OpenSSF दुर्भावनापूर्ण पॅकेजेस ही एक चांगली सुरुवात आहे.
पुढील पोस्टमध्ये, एखादे पॅकेज दुर्भावनापूर्ण आहे की नाही हे कसे ओळखावे यावर आपण चर्चा करणार आहोत. एक गोष्ट आधीच सांगतो: होय, रजिस्ट्री एखादा ज्ञात दुर्भावनापूर्ण घटक काढून टाकण्यापूर्वी, त्याच्या संपर्कात येण्याच्या सुरुवातीच्या काळातच दुर्भावनापूर्ण घटक तपासण्याचे मार्ग आहेत.
अधिक वाचनासाठी
पुढील भागातओपन सोर्स दुर्भावनापूर्ण पॅकेजेसपासून संरक्षण: काय (आणि काय नाही) प्रभावी ठरते" आपण ओपन-सोर्स सुरक्षेच्या बाबतीत काय करावे आणि काय करू नये यावर चर्चा करणार आहोत. बहुतेक सुरक्षा-जागरूक व्यावसायिकांना हा धोका कसा हाताळावा याबद्दल अंतर्ज्ञान असते, परंतु गैरसमज मोठ्या प्रमाणावर प्रचलित आहेत.
या कल्पना का चुकीच्या आहेत, आणि असे गैरसमज या हल्ला पद्धतीच्या लोकप्रियतेत व संस्थांना भेडसावणाऱ्या प्रचंड धोक्यात कसे योगदान देत आहेत, याचा आपण आढावा घेऊ. त्यानंतर, नेमके काय प्रभावी ठरते आणि त्यासाठी लागणारे प्रयत्न व संसाधने कोणती आहेत, यावर आपण चर्चा करू.
तसेच, आम्ही दुर्भावनापूर्ण पॅकेजेसच्या हेतू, इंजेक्शन यंत्रणा आणि हल्ला तंत्रांच्या उत्क्रांतीबद्दल पोस्ट करणार आहोत.
रहा!
