XZ Backdoor: “အဲဒါက အနီးစပ်ဆုံးပဲ”

နောက်ကွယ်မှ SSH အသုံးပြုခြင်း

မကောင်းဆိုးဝါးသော သို့မဟုတ် အန္တရာယ်ရှိသော ပြုပြင်ထိန်းသိမ်းသူတစ်ဦးသည် အမည်ရှိ စာကြည့်တိုက်တွင် အန္တရာယ်ရှိသော အပြုအမူကို ထည့်သွင်းခဲ့သည် လစ်ဘဇ်မာxz compression tools နှင့် libraries များ၏ အစိတ်အပိုင်းတစ်ခုဖြစ်ပြီး SSH တွင် backdoor တစ်ခုဖြစ်ပေါ်စေသည်။ ၎င်းသည် အဆင့်မြင့် software supply chain တိုက်ခိုက်မှုတစ်ခုဖြစ်ပြီး library ကို backdoor အတွက် ရည်ရွယ်ချက်ရှိရှိ ပြုပြင်မွမ်းမံထားပြီး၊ attack payload ကို reviewers များထံမှ ဝှက်ထားရန် obfuscation နှင့် stealth နည်းပညာများဖြင့် ပြုလုပ်ထားသည်။

၎င်းကို မကြာသေးမီက (ပြီးခဲ့သည့် မတ်လ ၂၉ ရက်နေ့တွင်) ရှာဖွေတွေ့ရှိခဲ့ပြီး တိုက်ခိုက်မှုကိုင်တွယ်မှုမှာ ဆက်လက်လုပ်ဆောင်နေပါသည်။ သို့သော်၊ ၎င်းသည် ကန့်သတ်ထားသော ပတ်ဝန်းကျင်အစုအဝေး၏ pre-release ဗားရှင်းများ (x86_64 ဗိသုကာအတွက် DEB နှင့် RPM packages များနှင့် GCC ဖြင့်တည်ဆောက်ထားသည်) ကိုသာ သက်ရောက်မှုရှိပုံရသောကြောင့် ၎င်းကို လျင်မြန်စွာ ထိန်းချုပ်နိုင်ခဲ့သည်။ မည်သို့ပင်ဖြစ်စေ၊ CVE ပေးခဲ့ပါတယ် CVSS အခြေခံရမှတ် အရေးအကြီးဆုံး ဆိုက်ဘာလုံခြုံရေး အားနည်းချက်များအတွက် သီးသန့်ထားရှိထားသော ၁၀ ခုအနက်မှ တစ်ခု။ ၎င်းသည် တည်ငြိမ်သော ဖြန့်ဖြူးမှုများထဲသို့ ဝင်ရောက်ပါက သက်ရောက်မှု အလွန်ကြီးမားလိမ့်မည်။ 

တိုက်ခိုက်မှု၏ နည်းပညာဆိုင်ရာ ခွဲခြမ်းစိတ်ဖြာမှု အပါအဝင် xz backdoor အကြောင်း အသေးစိတ်ရှင်းပြထားပါတယ်, ကို အခြားနေရာတွင် ခွဲခြမ်းစိတ်ဖြာခဲ့သည်။ ဤပို့စ်တွင် တိုက်ခိုက်မှု၏ အချိန်ဇယား၊ ၎င်းကို မည်သို့ရှာဖွေတွေ့ရှိနိုင်ပုံ၊ ဖြစ်ရပ်ကို ယနေ့အထိ မည်သို့ကိုင်တွယ်ဖြေရှင်းခဲ့ပုံနှင့် တိုက်ခိုက်မှုမှ မည်သည့်သင်ခန်းစာများ ထုတ်ယူနိုင်ပုံတို့ကို အဓိကထားပါမည်။

backdoor ရဲ့ ရှည်လျားတဲ့ အမြီးဟာ ကနဦး patch ကို ကျော်လွန်ပြီး အတော်ကြာ ဆက်လက်တည်ရှိနေပါတယ်။ CVE-2024-3094 ကို ထုတ်ဖော်ပြသပြီး တစ်နှစ်ကျော်အကြာ ၂၀၂၅ ခုနှစ် ဩဂုတ်လမှာ Binarly မှ လုံခြုံရေးသုတေသီတွေက Docker Hub မှာ ထုတ်ဝေခဲ့တဲ့ Debian Docker image ဆယ်ဂဏန်းလောက်မှာ backdoor ကို ဆက်လက်တွေ့ရှိခဲ့ပြီး Debian ရဲ့အဖွဲ့က ဖယ်ရှားဖို့ ငြင်းဆိုခဲ့ပြီး active risk ထက် historical development artifacts အဖြစ်သာ သဘောထားခဲ့ပါတယ်။ သီးခြားစီအနေနဲ့၊ OpenSSF XZ ဖြစ်ရပ်ဖြစ်ပွားပြီး မကြာမီတွင် OpenJS သည် အလားတူ လူမှုရေးအင်ဂျင်နီယာ သိမ်းပိုက်မှုကြိုးပမ်းမှုများသည် JavaScript ပရောဂျက်များကို ပစ်မှတ်ထားပြီးဖြစ်ကြောင်း ပူးတွဲသတိပေးချက်ထုတ်ပြန်ခဲ့ပြီး ဤနေရာတွင်အသုံးပြုသော maintainer-trust တိုက်ခိုက်မှုပုံစံကို အခြားနေရာတွင် ပြန်လည်အသုံးပြုနေကြောင်း ညွှန်ပြနေသည်။

XZ backdoor ကို ဘယ်လိုထိုးသွင်းခဲ့လဲ

မှတ်ချက်- git repository သည် အောက်ပါတွင်ရှိသည် git.tukaani.org။ သို့သျောလညျး တစ်ခုလည်း ရှိခဲ့တယ် GitHub တွင် လက်ခံထားသော သိုလှောင်ရုံ (လက်ရှိပိတ်ဆို့ထားသည်) GitHub အကောင့်မှ နောက်ပိုင်းတွင် Git repository ထဲသို့ ပေါင်းစပ်ထားသော ပြောင်းလဲမှုများကို တင်နေသည့်နေရာ။

backdoor ရဲ့ တစ်စိတ်တစ်ပိုင်းဟာ 5.6.0 နဲ့ 5.6.1 ဗားရှင်းတွေအတွက် distributed tarballs တွေထဲမှာပဲ ရှိနေပြီး git repositories ထဲမှာ မဟုတ်ဘဲ a ပေါ်မှာ မှီခိုနေပုံရပါတယ်။ build-to-host.m4 မှာ တစ်ကြောင်းတည်း autoconf မှအသုံးပြုသော macro ဖိုင်။ ကျန်အပိုင်းမှာ testfiles နှစ်ခုဟုယူဆရသောဖိုင်တွင်ရှိသည်။ bad-3-corrupt_lzma2.xz နှင့် good-large_compressed.lzma

အဲဒါတွေရှိတယ် commitTED GitHub အကောင့် “Jia Tan” မှ (JiaT75) ထဲမှာ xz သိုလှောင်ရုံ ဖေဖော်ဝါရီ ၂၃ ရက်နေ့မှာပါ။ testfiles (.lzma နဲ့ .xz compressed blocks လို့ ယူဆရတဲ့) ကို ထည့်သွင်းတာက အန္တရာယ်မရှိတဲ့ ပြောင်းလဲမှုတစ်ခုပါ။ စိတ်ဝင်စားစရာကောင်းတာက test files တွေကို tests တွေက အသုံးမပြုခဲ့ပါဘူး။ .m4 file ရဲ့ line က obfuscated script (tarball မှာ ပါဝင်တဲ့) ကို inject လုပ်ထားပြီး configure ရဲ့အဆုံးမှာ configure လုပ်ရမယ့် context အခြေအနေတွေ ကိုက်ညီရင် execute လုပ်ပါတယ်။ Makefile ကို ပြုပြင်ပေးပါတယ်။ လစ်ဘဇ်မာ library တွင် .xz ဖိုင်မှ ဒေတာများကို ထုတ်ယူသည့် ကုဒ်ပါဝင်ရန်၊ deobfuscation ပြီးဆုံးပြီးနောက် ဒီဇာတ်ညွှန်းမှာ, ကို configure ရဲ့အဆုံးမှာ injection လုပ်ပါတယ်။ build process ကို inject code အဖြစ် ပြုပြင်မွမ်းမံဖို့ ဆုံးဖြတ်ပါတယ်- GCC နဲ့ GCC linker အောက်မှာပဲ၊ Debian ဒါမှမဟုတ် rpm အောက်မှာပဲ၊ x86_64 Linux အတွက်ပဲ ဖြစ်ပါတယ်။ match ဖြစ်တဲ့အခါ injected code က execution နှစ်ခုကို အစားထိုးခြင်းဖြင့် intercept လုပ်ပါတယ် အိုင်ဖန့်ခ် resolvers များကြောင့် အချို့သော ခေါ်ဆိုမှုများကို အစားထိုးပါသည်။ ၎င်းက symbol table များကို memory တွင် parse လုပ်စေသည် (၎င်းသည် အချိန်ယူရသောကြောင့် နောက်ပိုင်းတွင် ရှင်းပြထားသည့်အတိုင်း ထောက်လှမ်းမှုကို ဖြစ်ပေါ်စေသည်)။

ထို့နောက် အရာအားလုံး စိတ်ဝင်စားစရာကောင်းလာသည်- backdoor သည် dynamic linker တွင် audit hook တစ်ခုကို ထည့်သွင်းပြီး RSA_public_decrypt function symbol ရောက်ရှိလာရန် စောင့်ဆိုင်းနေပြီး ၎င်းကို backdoor code ထဲသို့ ပြန်ညွှန်းကာ ၎င်းက ပြန်လည်ခေါ်ယူသည်။ libcryptoပုံမှန် authentication ကို လုပ်ဆောင်ရန် ဖြစ်နိုင်သည်။ ထို့အပြင် လည်ပတ်နေသော program တွင် process name ရှိပါက payload သည် အသက်ဝင်သည်။ /usr/sbin/sshdSSH ဆာဗာများသည် ပစ်မှတ်ဖြစ်ကြောင်း ထင်ရှားပါသည်။ ရိုးရာအစဉ်အလာအရ၊ ssh OpenSSH ကဲ့သို့သော server များကို ချိတ်ဆက်မထားပါ။ လစ်ဘဇ်မာဒါပေမယ့် sshd ကတော့ မကြာခဏ ပြင်ထားသည် sshd လည်ပတ်နေချိန်မှာ တခြားဝန်ဆောင်မှုတွေ စတင်နိုင်အောင် systemd-notify ကို ပံ့ပိုးပေးဖို့ပါ။ ပြီးတော့ liblzma ကို သွယ်ဝိုက်ပြီး load လုပ်ပါတယ် systemd, စက်ဝိုင်းကို ပိတ်ခြင်း။

နောက်ကွယ်ကတံခါးကို အပြည့်အဝ မခွဲခြမ်းစိတ်ဖြာရသေးပေမယ့် ထင်ရပါတယ် အဝေးထိန်း command ကို လုပ်ဆောင်ခွင့်ပြုခြင်း (RCE) sshd daemon ရဲ့ အခွင့်အရေးတွေနဲ့အထောက်အထားစိစစ်ခြင်းမပြုမီ အခြေအနေတွင် လုပ်ဆောင်နေပါသည်။ ဝေးလံခေါင်သီသော လက်မှတ်မှ အချက်အလက်များကို backdoor မှ တိုက်ဆိုင်စစ်ဆေးသောအခါ ChaCha20 ဖြင့် decrypt လုပ်ပြီးနောက် အောင်မြင်စွာ decrypt လုပ်သောအခါ ၎င်းကို ပေးပို့သည် စနစ်()ဒါကြောင့် ဒါက အခြေခံအားဖြင့် gated RCE တစ်ခုဖြစ်ပြီး public key bypass ထက် အများကြီး ပိုဆိုးပါတယ်။ 

နောက်ပိုင်း 5.6.1 tarball တွင် သင်္ကေတအမည်များအတွက် ပိုမိုရှုပ်ထွေးစေခြင်း၊ နှင့် မြင်တွေ့ရသော အမှားများကို ပြင်ဆင်ရန် အပိုကြိုးပမ်းမှုများကို ပြသခဲ့သည်။ တိုးချဲ့မှုယန္တရား backdoor တွင်ထည့်သွင်းရန် အချို့သောလက်မှတ်များအတွက် နောက်ထပ်စမ်းသပ်မှုဖိုင်များကို ရှာဖွေခဲ့သည့်နေရာကိုလည်း ထားရှိခဲ့သည်။

ဒီအတော်လေးရှုပ်ထွေးတဲ့တိုက်ခိုက်မှုဟာ တည်ငြိမ်တဲ့ Linux ဖြန့်ချိမှုတွေမရောက်မချင်း မသိသာဘဲနေနိုင်ပါတယ်။ ကံကောင်းထောက်မစွာပဲ၊ တချို့လူတွေက ပုံမှန်မဟုတ်တဲ့အရာတွေ ဘာကြောင့်ဖြစ်ရတာလဲဆိုတာကို စစ်ဆေးချင်ကြပါတယ်။