پچھلی قسط میں، اوپن سورس نقصان دہ پیکجز: مسئلہہم نے اس بات پر تبادلہ خیال کیا کہ دھمکی دینے والے ایسے کیوں تھے۔ نئے نقصان دہ اجزاء شائع کرنے یا موجودہ اجزاء کے تازہ ترین ورژن میں میلویئر لگانے کے بارے میں پرجوش: اوپن سورس انفراسٹرکچر کسی کو بھی کہیں بھی ایک عارضی اکاؤنٹ بنانے کی اجازت دیتا ہے۔ اجزاء کی رجسٹری میں (جیسے NPM، PyPI، Docker Hub یا Visual Studio Marketplace) یا باہمی تعاون کے ساتھ ترقیاتی پلیٹ فارم (جیسے GitHub)۔ صفر لاگت، اور اضافی اعتماد کا فائدہ اٹھانے کے بہت سے مواقع جو سافٹ ویئر ٹیمیں روایتی طور پر فریق ثالث کے اجزاء پر رکھتی ہیں۔
اوپن سورس کے لیے دستیاب انفراسٹرکچر کا استعمال کرتے ہوئے حملہ آوروں کے لیے میلویئر تقسیم کرنا کتنا آسان ہے، اور سافٹ ویئر تیار کرنے والی تنظیموں کے لیے کتنا مشکل ہے کہ وہ میلویئر سے متاثر ہونے سے بچیں (اور اس سافٹ ویئر میں میلویئر ڈیلیور کریں جو وہ دوسروں کے لیے تقسیم کرتے ہیں)، جس کی وجہ سے نقصان دہ پیکجوں کا چوتھائی ملین نشان تقریباً پچھلے سال تک پہنچ گیا۔
یہ اتنا بڑا مسئلہ ہے کہ کوئی ایک ادارہ اسے حل نہیں کر سکتا، اور کمیونٹی اعتماد، محفوظ بہ ڈیفالٹ اور محفوظ بہ ڈیزائن اصولوں، اور اجزاء کے لائف سائیکل سے متعلق اوپن سورس کے عمل کو دوبارہ ترتیب دینے کے عمل میں ہے۔ ہم اگلی قسط میں ایسے خیالات پر ایک نظر ڈالیں گے۔ اوپن سورس نقصان دہ پیکجوں کے خلاف تحفظ: کیا کام کرتا ہے (نہیں).
یاد رکھیں کہ ہم سافٹ ویئر کے اجزاء کے بارے میں بات کر رہے ہیں جو زیادہ تر وقت سے مطابقت رکھتے ہیں سوفٹ ویئر پیکجوں: دوبارہ قابل استعمال اجزاء پیک کیے جاتے ہیں تاکہ انہیں سافٹ ویئر مینی فیسٹ میں انحصار کے طور پر حوالہ دیا جا سکے، اور پیکیج مینیجر یا بلڈ ٹول کے ساتھ انسٹال کیا جا سکے۔ براہ کرم نوٹ کریں کہ اس کیس کو عوام کو شامل کرنے کے لیے بڑھایا جا سکتا ہے۔ کنٹینر کی تصاویر (کنٹینر رن ٹائمز اور آرکیسٹریشن پلیٹ فارمز جیسے کبرنیٹس کے ذریعے استعمال کیا جاتا ہے)، اور سافٹ ویئر ٹولز میں توسیع (عمارت، آٹومیشن، اور تعیناتی کے لیے)۔
یہاں ہم تجزیہ کرتے ہیں کہ یہ کیسے ہے۔ نقصان دہ اجزاء پر مبنی حملے کی حکمت عملی کام کرتا ہے، ماضی کی مثالوں کے مطابق اور جو ہم نے میلویئر ارلی وارننگ کے لیے اپنے پلیٹ فارم میں دیکھا ہے۔ (MEW)۔ ہم بدنیتی پر مبنی اجزاء کو مختلف جہتوں میں الگ کریں گے:
(1) ڈسٹری بیوشن کے لیے منتخب کیا گیا طریقہ (کسی نئے یا موجودہ جزو میں استعمال ہونے والی رجسٹری، اور شائع شدہ جزو ورژن کو متاثر کرنے کے لیے استعمال ہونے والی تکنیک)، (2) میلویئر کیسے چالو یا متحرک ہوتا ہے، (3) بدنیتی پر مبنی رویہ یعنی کون سے نقصان دہ اعمال دیکھے جاتے ہیں اور حملہ آور کا محرک کون سا ہے، (4) کون سی تکنیکیں عام ہیں جن کا دھیان نہ جانے کے لیے چھپنا، پس منظر کی نقل و حرکت، کمانڈ اینڈ کنٹرول (C2) میزبانوں کے ساتھ بات چیت، وغیرہ۔ اور (5) کافی مقبولیت اور اعتماد حاصل کرنے کی تکنیک تاکہ متاثرین جزو کو انسٹال کریں۔
تقسیم کا طریقہ کار منتخب کیا گیا۔
ہم مشاہدہ کرتے ہیں "پس پردہ شورغیر نفیس نقصان دہ پیکجوں کا استعمال کرتے ہوئے ناواقف ڈویلپرز کو ان کی انحصار کے لیے پیکج کے نام میں ٹائپو کے ساتھ فش کرنے کے لیے۔
وہ ایک عارضی اکاؤنٹ کا استعمال کرتے ہیں، ٹائپوسکویٹ پیکجوں کا ایک گروپ شائع کرتے ہیں، دوسرا تخلیق کرتے ہیں، اور دوسرا گروپ شائع کرتے ہیں… کچھ آٹومیشن اور آسانی کا استعمال کرتے ہوئے وہ کچھ نفاست حاصل کر سکتے ہیں، لیکن عام طور پر وہ بہت معمولی ہوتے ہیں۔ ہم انہیں اندرونی طور پر کہتے ہیں "Anchoviesاسناد چوری کرنا بنیادی مقصد ہے، لیکن کبھی کبھار ہمیں اسپائی ویئر سے باہر نکلنے والا سورس کوڈ یا حساس ڈیٹا جیسے ذاتی طور پر قابل شناخت معلومات (PII)، کلپ بورڈ کیپچر، اور دیگر بدگمانیاں مل جاتی ہیں۔
نیلے رنگ سے باہر آتے ہوئے ہمیں مزید نفیس بدنیتی پر مبنی اجزاء، "شارکس" نظر آتے ہیں۔ ایک اقلیت کو مخصوص گروپوں یا تنظیموں کو نشانہ بنایا جاتا ہے، خاص طور پر کرپٹو ڈرینرز یا ویب سکیمر کے ساتھ جو مشروط طور پر چالو ہوتے ہیں، شاید اس نقطہ نظر کی پیروی کرتے ہوئے واقعہ سلسلہ واقعہ حملے کے پے لوڈ کو ڈکرپٹ کرنے کے لیے صرف اس صورت میں جب پیکج کا حوالہ ہدف پیکج سے کیا جاتا ہے۔
تقسیم کے طریقہ کار کا بہترین اور اب کلاسک پیپر میں تجزیہ کیا گیا، "بیکسٹبرز نائف کلیکشن: اوپن سورس سافٹ ویئر سپلائی چین کے حملوں کا جائزہجو کہ ضرور پڑھنا ہے۔ یقیناً آپ نے یہ خوبصورت چارٹ پہلے دیکھا ہوگا:
نئے اور موجودہ پیکجوں سمیت تمام راستے تلاش کیے گئے۔ سورس کوڈ، بلڈ سسٹم، یا خود پیک شدہ جزو کو متاثر کرنا؛ چوری شدہ اسناد یا سوشل انجینئرنگ کا استعمال؛ لاوارث کھاتوں اور ذخیروں کو ہائی جیک کرنا یا رکھے ہوئے اکاؤنٹس کو زہر دینا۔ کچھ حملوں کے نام موصول ہوئے (ٹائپوسکیٹنگ, انحصار کنفیوژن, ظاہر کنفیوژن, ریپو جیکنگ. وغیرہ) اور پہلے ہی کہیں اور زیر بحث آئے تھے۔
منتخب کردہ رجسٹریوں کے بارے میں کیا خیال ہے؟
نقصان دہ پیکجوں کی کل تعداد میں NPM بدستور آگے ہے، لیکن ہم نے اس سال PyPI پر ایک اضافہ دیکھا۔ Python ڈیٹا سائنس اور مشین لرننگ کے لیے ایک مقبول ماحولیاتی نظام ہے۔ درحقیقت، میلویئر کثافت اب PyPI میں NPM کی نسبت زیادہ ہے۔
میلویئر کیسے متحرک ہوتا ہے۔
نقصان دہ پیکجز انسٹالیشن کے دوران 10 میں سے صرف 4 کیسز میں متحرک ہوتے ہیں (حالیہ سالوں میں یہ 10 میں سے 6 کے قریب تھا)۔ باقی رن ٹائم پر بدنیتی پر مبنی رویہ چلاتے ہیں، ٹیسٹ چلانے کے دوران 100 میں سے 1 کو متحرک کیا جاتا ہے۔ ایسا لگتا ہے کہ مخالفین کو معلوم ہے کہ انسٹالیشن اسکرپٹس کے بے قابو عمل کو کئی جگہوں پر غیر فعال کر دیا گیا تھا۔
برے لوگوں کو کیا مل رہا ہے؟
ہم بدنیتی پر مبنی رویے کے زمرے درج کریں گے، پہلے سب سے زیادہ مقبول کے ساتھ۔ براہ کرم نوٹ کریں کہ اثر کافی مختلف ہو سکتا ہے: a وائپر ضدی طور پر تباہ کن ہے، لیکن یہ عام نہیں ہے اور صرف چند ہی صورتوں میں دیکھا گیا ہے، جن کا تعلق ٹارگٹ سائبر جنگ کی مہموں یا سفاکانہ ہیکٹو ازم سے ہے۔ درج ذیل زمرے کافی عام ہیں:
- InfoStealer / اسناد ڈرینر. اب تک سب سے زیادہ، 90% سے زیادہ غیر نفیس حملے عام چوری کرنے والے ہوتے ہیں جو بنیادی طور پر پاس ورڈز، ایکسیس ٹوکنز، API کیز، اور پرائیویٹ کیز (SSH اور اس طرح کے لیے) جیسے اسناد کی تلاش میں ہوتے ہیں۔ یہ لکھنا شاید سب سے آسان ہے (وائپرز کے ساتھ؟) وہ معلوم فائلوں/ڈائریکٹریوں اور دیگر ذرائع (جیسے رجسٹری کیز) کی گنتی کرتے ہیں، مواد کو پیک کرتے ہیں، اور اس ڈیٹا کو C2 سرور کو بھیجتے ہیں۔ خیال آسان ہے: "میں فشنگ کی اسناد کے لیے ایک چوری کرنے والا شائع کرتا ہوں، اس لیے میں بعد میں ان اسناد کو براہ راست حملہ کرنے کے لیے استعمال کر سکتا ہوں"۔
مشاہدہ کردہ C2 نیٹ ورکنگ عام طور پر سستی اور گندی ہوتی ہے، جیسے ٹیلیگرام چینلز یا اینگروک نما ٹنلنگ ٹولز (اکثر وی پی این ایگریس آئی پی کے ذریعے سامنے آنے والی ریورس پراکسی کی شکل میں)۔ سیکڑوں (!) امکانات ہیں، جن کے تحت بہت سے GitHub پروجیکٹس ہیں۔ پاس ورڈ چوری کرنے والا موضوع. کی لاگرز جیسی تخصیصات بدنیتی پر مبنی پیکجز اور کنٹینر امیجز کے لیے نایاب ہیں، لیکن ٹول ایکسٹینشنز میں زیادہ کثرت سے ہیں، جہاں صارف کے تعامل کی توقع کی جاتی ہے۔
- ڈراپر / ڈاؤنلوڈر. مقبولیت میں دوسرا، عام طور پر ملٹی اسٹیج حملوں میں پہلے نمبر پر آتا ہے۔ نقصان دہ اجزاء میں سے تین میں سے ایک سے زیادہ میں ڈراپرز ہوتے ہیں (اگر بدنیتی پر مبنی پے لوڈ پیکج میں شامل ہو) یا ڈاؤن لوڈرز (پے لوڈ حملہ آور کے کنٹرول میں کسی اینڈ پوائنٹ سے ڈاؤن لوڈ کیا جاتا ہے)۔ پے لوڈ اکثر ایک معروف بائنری میلویئر ویرینٹ ہوتا ہے، اور یہ بیک ڈور، اسپائی ویئر، کرپٹو ڈرینرز، اور دیگر استعمال کے معاملات کو انسٹال کرنے کے لیے چلایا جاتا ہے اور کبھی کبھی برقرار رہتا ہے۔ ڈاؤن لوڈ یا تعینات کردہ پے لوڈ موجودہ میلویئر بائنریز کے ذریعہ فراہم کردہ تمام طاقت کے ساتھ دوسرے مرحلے کا حملہ شروع کرتا ہے۔ بائنریز کو پیکج کے اندر تقسیم کیا جا سکتا ہے، اکثر تصویروں کے طور پر یا قیاس کے طور پر بے ضرر فائل کی قسموں کے طور پر چھپا دیا جاتا ہے، تاکہ غیر متوقع سائٹس سے منسلک ہوتے وقت پتہ لگانے سے بچ سکیں۔
- کرپٹو کرنسی چوری کرنے والے / کان کن. مالی طور پر حوصلہ افزائی کرنے والے مخالفین آپ کے کلاؤڈ اثاثوں کو cryptominers چلانے کے لیے استعمال کرنے کے لیے تیار ہیں (وہ اس بات کا بھی پتہ لگاتے ہیں کہ آیا وہ کلاؤڈ VM میں چل رہے ہیں)۔ وہ اس کی پرواہ نہیں کرتے کم منافع کا تناسب چوری شدہ کلاؤڈ انفراسٹرکچر کے لیے متاثرہ سے وصول کیے جانے والے ہر $53 کے لیے $1۔ متاثرین کو اس وقت تک اس کا علم نہیں ہو سکتا جب تک کہ انہیں کوئی غیر متوقع بل موصول نہ ہو جائے۔ خوش قسمتی سے، یہ آتا ہے اور جاتا ہے. کرپٹوکنگ بدنیتی پر مبنی پیکجز میں مہمات کبھی کبھار پاپ اپ ہوتی ہیں اور پھر ختم ہوجاتی ہیں، والیٹ استعمال کرنے والوں کے لیے فشنگ یا بالآخر والیٹ فراہم کنندہ کو نشانہ بنانا، جیسا کہ لیجر حملہ.
دوسرے رویے، جیسے تعینات کرنا پچھلے دروازے ریورس شیل کھول کر ریموٹ کوڈ پر عمل درآمد ماضی کے مقابلے میں اب کم ہوتا ہے۔ مثال کے طور پر، the 123rf_contributor_web پیکیج (اب رجسٹری سے ہٹا دیا گیا ہے) بغیر کسی رکاوٹ کے کھلتا ہے ایک ریورس شیل کاپی اور پیسٹ شیل چیٹ شیٹ کو ریورس کریں۔:
جائز اور بدنیتی پر مبنی اجزاء کے علاوہ، ہم نے کئی بدسلوکی کا مشاہدہ کیا ہے، بشمول:
سپیم پیکجز
ہزاروں چھوٹے پیکجز ہیں، زیادہ تر NPM میں، جن میں کوئی میلویئر نہیں ہے لیکن آسان کمائی، سانپ کا تیل، ویاگرا کی پیشکش کے لنکس، اور یہ سب کچھ۔ کچھ صارفین ایسے سپیم شائع کرتے ہیں اور رجسٹری سے بہت زیادہ بینڈوتھ لیتے ہیں۔ ممکنہ طور پر انڈونیشیا سے تعلق رکھنے والے ایک اور اداکار نے فائدہ اٹھانے کی کوشش کی۔ ٹی رینک کو گالی دینا متعلقہ GitHub ڈمی ریپوزٹریز کے ساتھ دسیوں ہزار باہم منسلک NPM پیکجز بنا کر، اوپن سورس ڈویلپرز کو معاوضہ دینے کا ارادہ ہے۔ یہ استعمال کی شرائط کی واضح خلاف ورزی ہے۔
بگ باؤنٹی اور سیکیورٹی ریسرچ کی دھوکہ دہی
جب کوئی پیکج اپنے آپ کو اچھے مقاصد کے لیے ڈیٹا کو بڑھاوا دینے کے طور پر بیان کرتا ہے، جیسے بگ باؤنٹی پروگرامز کے لیے سیکیورٹی کی خامیوں کا پتہ لگانا یا ماحولیاتی نظام کے کچھ پہلوؤں پر تحقیق کرنا۔ ہم نے اس زمرے میں ہزاروں پیکجز دیکھے ہیں، جو پورٹ سوئگر (جیسے oastify.com ڈومین میں میزبان) سے برپ کولیبریٹر ایڈریس پر شناخت تو لاتے ہیں لیکن زیادہ حساس ڈیٹا نہیں رکھتے۔ ہم نے اکثر کاپی کیٹس کا مشاہدہ کیا۔ انحصار کنفیوژن الیکس برسن کے تصور کا ثبوت، جیسے aurora-webmail-pro پیکیج (رجسٹری سے ہٹا دیا گیا)، جو اس گندے کوڈ کو پہلے سے انسٹال اسکرپٹ میں چلاتا ہے:
اور یہ بھی شامل ہے "یہ تصور کا سادہ انحصار کنفیوژن اٹیک ثبوت ہے۔" میں دستبرداری کی تفصیل package.json. یہ سروس کی شرائط کی واضح خلاف ورزی ہے، یہاں تک کہ بدنیتی پر مبنی ارادے کے بغیر۔
کچھ اچھی خبر؟ ہم نے (ابھی تک) بدنیتی پر مبنی اجزاء کے ذریعے رینسم ویئر کے حملے نہیں دیکھے۔ نامعلوم وجوہات کی بنا پر، ایسا لگتا ہے کہ سائبر کرائمینز زیادہ روایتی ای میل فشنگ، RDP پر مبنی، اور ڈرائیو کے ذریعے ڈاؤن لوڈ کی ترسیل کے طریقہ کار کو ترجیح دیتے ہیں۔
اضافی تکنیکوں کا مشاہدہ کیا گیا۔
استقامت، دفاعی چوری، معلومات جمع کرنے، کمانڈ اینڈ کنٹرول میزبانوں کے ساتھ بات چیت، اور اخراج کے لیے بہت سی تکنیکیں استعمال کی گئیں۔
مسلسل نقصان دہ اجزاء میں دوسرے مرحلے کے بائنری میلویئر میں استقامت کی خصوصیات کا استعمال کرتے ہوئے حاصل کیا جاتا ہے، لیکن بعض اوقات یہ سلوک پیکیج کوڈ میں ہوتا ہے، جس میں طے شدہ کام اور ونڈوز رجسٹری میں تبدیلیاں سب سے زیادہ عام ہیں۔
Obfuscation عام ہے، لیکن غیر نفیس ہے۔ زیادہ تر ٹائپوسکوٹنگ پیکجز (یاد رکھیں "Anchoviesمبہم کا استعمال بالکل بھی نہیں کرتے؛ بہت سے لوگ یا تو معمولی (بیس 64/ہیکس انکوڈنگ یا متبادل سائفرز جیسے rot13) استعمال کرتے ہیں یا دستیاب کوڈ ابفسکیٹرز اور منیفیکیشن کا استعمال کرتے ہیں، جسے صحیح ٹولنگ کے ساتھ آسانی سے الٹ دیا جاتا ہے۔ صرف "شارکس" ہی حقیقی، سخت، مبہم، ریورس کرنے میں مشکل کام کرتی ہیں۔
ابہام حملے کو چھپا سکتا ہے، لیکن اوپن سورس جزو میں کوڈ کو مبہم کرنے کی ضرورت کیوں ہوگی؟ کیا اس بات کا ثبوت ہے کہ کسی چیز کو عام نظروں سے چھپانے کی ضرورت ہے؟ ہمیں غیر نقصان دہ پیکجوں کی بہت سی مثالیں ملی ہیں جو املاک دانش کی حفاظت کے لیے مبہم استعمال کرتے ہیں، جو کہ "اوپن سورس" سے متصادم ہے۔ مبہم کو میلویئر کے ثبوت کے طور پر استعمال کیا جا سکتا ہے، لیکن یہ حتمی نہیں ہے۔ مبہم کرنا بھی مشکل ہے۔
چوری دفاعی کنٹرول سے سادہ تکنیک اپناتا ہے۔ بدنیتی پر مبنی کوڈ اکثر اس میں محفوظ ہوتا ہے۔ کوشش کریں … پکڑو بلاکس جو کسی بھی استثناء کو نظر انداز کرتے ہیں، لہذا نوشتہ جات میں غیر معمولی سرگرمی نہیں دکھائی جاتی ہے۔ ماحول کی توثیق (VM یا کنٹینر میں چلنا) نایاب ہے، الا یہ کہ میلویئر کسی خاص تنظیم یا ماحول کو نشانہ بنا رہا ہو۔
تصویروں اور پی ڈی ایف فائلوں میں بائنریز کو چھپانا (قسم کی سٹیگنوگرافی) ایک اور تکنیک تھی جو پتہ لگانے سے بچنے کے لیے دیکھی گئی۔
جیسا کہ سب سے عام بدنیتی پر مبنی اجزاء infostealers ہیں، ڈیٹا کلیکشن ضروری ہے. راز (پاس ورڈز، ایکسیس ٹوکنز، API کیز، کرپٹوگرافک کیز) کو معمول کے مطابق لاگ فائلوں، ماحولیاتی متغیرات، اور یہاں تک کہ کلپ بورڈ (بینکنگ ٹروجنز اور کرپٹو اسٹیلرز کے ساتھ دیکھا جاتا ہے) میں اسکین کیا جاتا ہے۔ سورس کوڈ کا اخراج بھی عام ہے، کیونکہ پیکیج کی تنصیب اکثر ترقیاتی نوڈ میں کی جاتی ہے جہاں اندرونی گٹ ریپوزٹریوں کو کلون کیا جا سکتا ہے۔ ہم نے گٹ ریپوزٹریوں کی تلاش میں ڈائریکٹریوں کی گنتی کرنے والے پیکیج دیکھے ہیں۔ .env، private.pem، settings.py، app.js، یا application.properties جیسے مقامات کی تلاش بہت عام ہے۔
اخراج ایک اور وسیع پیمانے پر تعینات عمل ہے۔ بدنیتی پر مبنی پیکیجز کی صرف ایک اقلیت یہاں تک کہ نکالے گئے ڈیٹا کی منزل کو چھپانے کی کوشش کرتی ہے۔ ٹیلیگرام چینلز اور اینگروک جیسی سرنگیں۔ اکثر استعمال کیا جاتا ہے. اور بہت سے ہیں۔ عام طور پر وائٹ لسٹ کیے گئے ڈومینز جو exfiltration کے لیے استعمال ہوتے ہیں۔.
دیگر تکنیکیں، جیسے استحقاق میں اضافہ یا پس منظر کی نقل و حرکت، کم عام تھیں۔
مقبولیت اور اعتماد حاصل کرنا
تصور کریں کہ ایک ٹیک بدمعاش ایک ریڈی میڈ قاتل بدنیتی پر مبنی چیز کے ساتھ سوچ رہا ہے: "میں s#$ کے اس ٹکڑے کو کیسے بناؤں! ان غیر مشکوک احمقوں کے لیے قابل اعتماد؟"۔
یہ اس بات کا ترجمہ کرتا ہے کہ بدنیتی پر مبنی جزو کے لیے اندراج کیسے کیا جائے تاکہ بہت سے ستارے/فورکس (مقبولیت کے لیے)، علاوہ ورژن/مسائل اور pull requests (سرگرمی کے لیے)۔ خیال فرضی مقبولیت (ستاروں) اور منحصر افراد، اور مطابقت اور دیکھ بھال کے حوالے سے ایک قائل نظر حاصل کرنا ہے۔
رجسٹری اس بات کی جانچ نہیں کرتی ہے کہ آیا گٹ ہب پروجیکٹ میں موجود مواد اور پیکیج کے مشمولات مماثل ہیں۔. یہ سافٹ ویئر سپلائی چین میں ایک معروف مسئلہ ہے۔ عوامی رجسٹریاں بڑے بڑے سنک ہول ہیں جو ان پر پھینکی گئی ہر چیز کو نگل جاتی ہیں۔ آپ کسی بھی ذخیرہ کو لنک کر سکتے ہیں۔
اگر بدنیتی پر مبنی پیکیج کسی مقبول کو ٹائپ کرنے سے روکتا ہے، تو یہ آسان ہے: پیکیج بنانے اور اسے رجسٹری میں شائع کرنے کے لیے استعمال ہونے والے انحصار مینی فیسٹ میں صرف موجودہ GitHub ریپوزٹری کا حوالہ دیں۔ جعلی GitHub ریپو پر نئے پیکجوں کے لیے، آپ کو زیادہ آسانی کی ضرورت ہو سکتی ہے، شاید جعلی بنانا ستاروں کی طرف دیکھنا/فورکنگ اسکرپٹنگ کے ذریعے GitHub اکاؤنٹس۔
اور اگر آپ کے پیکج کے مواد معقول حد تک ریپو سے ملتے جلتے ہیں، تو یہاں اور وہاں کچھ اچھی طرح سے ڈیزائن کی گئی تبدیلیاں سلپ کریں… آپ اپنے مالویئر کو ایک نئے پیکج میں داخل کر سکتے ہیں جو موجودہ کسی کے ریپوزٹری کا حوالہ دیتے ہوئے ایک مقبول سے ملتا جلتا ہو، اور ٹائپنگ کی غلطیوں کا انتظار کریں۔ اگر کوئی پیکج ٹربال کے مواد کا گٹ ہب ریپوزٹری کے مواد سے موازنہ کرنے کی ہمت کرتا ہے، تو میلویئر انجیکشن پوائنٹس کے فرق کو آسانی سے یاد کیا جا سکتا ہے۔ ہم نے اس انداز کو پہلے بھی کئی بار دیکھا ہے۔
ایک جزو کے لیے ایک طریقہ کار کہ جس سے ثابت ہونے کے بارے میں چھیڑ چھاڑ سے متعلق بیان دیا جائے، پیکیج کیسے بنایا گیا، کن ذرائع سے، اور کس کے ذریعے، خوش آئند ہوگا۔ لیکن یہ ایک اور کہانی ہے۔
کیا جزو X میلویئر ہے؟
کیا بدنیتی پر مبنی پیکجوں کا کوئی (جامع) ڈیٹا بیس ہے؟ نہیں اوپن سورس کی کمزوریوں کے لیے ایک CVE ID تفویض کی گئی ہے، لیکن صرف چند بدنیتی پر مبنی پیکجز (خاص طور پر وہ جو سرخیاں بناتے ہیں) دیے گئے ہیں۔ بدنیتی پر مبنی پیکجوں کے لیے CWE ہے۔ CWE-506 (ایمبیڈڈ بدنیتی پر مبنی کوڈ)۔
معمول کے میلویئر ٹولز (VirusTotal, MalwareBazaar, SOREL-20M…) نقصان دہ اجزاء کے لیے مخصوص شرائط نہیں بناتے ہیں۔ یہ خوش آئند ہو گا!
تجزیہ کے لیے تحقیقی نمونے کے ڈیٹا بیس اور ڈیٹا سیٹس موجود ہیں (ہم ان میں سے چند کو استعمال کرتے ہیں)، لیکن اندراجات کو صرف اس وقت اپ ڈیٹ کیا جاتا ہے جب بدنیتی پر مبنی پیکج معلوم ہو، جس میں اکثر دیر ہو جاتی ہے۔ اگر آپ دلچسپی رکھتے ہیں، OpenSSF بدنیتی پر مبنی پیکیجز ایک اچھا آغاز ہے.
اگلی پوسٹ میں، ہم اس بات پر تبادلہ خیال کریں گے کہ یہ کیسے معلوم کیا جائے کہ آیا دیا ہوا پیکیج بدنیتی پر مبنی ہے۔ سپوئلر: ہاں، ایکسپوزر ونڈو کے دوران ابتدائی طور پر نقصان دہ اجزاء کو چیک کرنے کے طریقے موجود ہیں، اس سے پہلے کہ رجسٹری کسی معروف نقصان دہ جزو کو ہٹائے۔
مزید پڑھنے
اگلی قسط میں "اوپن سورس نقصان دہ پیکجوں کے خلاف تحفظ: کیا کام کرتا ہے (نہیں)" ہم اوپن سورس سیکیورٹی کے لیے کرنے اور نہ کرنے پر بات کریں گے۔ زیادہ تر سیکیورٹی سے آگاہ پیشہ ور افراد اس خطرے سے نمٹنے کے بارے میں بصیرت رکھتے ہیں، لیکن غلط فہمیاں بہت زیادہ ہیں۔
ہم اس بات کا جائزہ لیں گے کہ یہ خیالات کیوں غلط ہیں، اور اس طرح کی غلط فہمیاں اس حملے کے طریقہ کار کی مقبولیت میں اور تنظیموں کو لاحق خطرے میں کس طرح مدد دے رہی ہیں۔ پھر ہم آگے بڑھیں گے کہ کیا کام کرتا ہے، اور کون سی کوشش اور وسائل شامل ہیں۔
اس کے علاوہ، ہم بدنیتی پر مبنی پیکجوں کے ان کے ارادے، انجیکشن میکانزم، اور حملے کی تکنیک کے لحاظ سے ارتقاء کے بارے میں پوسٹ کرنے جا رہے ہیں۔
دیکھتے رہنا!
