கேனிஸ்டர் வார்ம் மால்வேர்

பரவலாகப் பயன்படுத்தப்படும் டிரிவி ஸ்கேனரை ஆரம்பத்தில் குறிவைத்த ஒரு நுட்பமான விநியோகச் சங்கிலித் தாக்குதல், தற்போது எண்ணற்ற என்.பி.எம் தொகுப்புகளைப் பாதிக்கும் ஒரு பரந்த சமரசமாக விரிவடைந்துள்ளது. இந்தத் தாக்குதலுக்குப் பின்னால் உள்ள அச்சுறுத்தல் சக்திகள், கேனிஸ்டர்வார்ம் (CanisterWorm) எனப்படும், இதற்கு முன் ஆவணப்படுத்தப்படாத, தானாகப் பரவும் ஒரு புழுவைப் பயன்படுத்துவதாகச் சந்தேகிக்கப்படுகிறது. இது இந்த ஊடுருவலின் அளவையும் தாக்கத்தையும் கணிசமாக அதிகரித்துள்ளது.

இந்த மால்வேர், தனது கட்டளை உள்கட்டமைப்பின் ஒரு பகுதியாக, பரவலாக்கப்பட்ட பிளாக்செயினில் ஹோஸ்ட் செய்யப்பட்ட, சிதைக்க முடியாத ஸ்மார்ட் ஒப்பந்தங்களான இன்டர்நெட் கம்ப்யூட்டர் புரோட்டோகால் (ICP) கேனிஸ்டரைப் பயன்படுத்துவதால், இந்தப் பெயரைப் பெறுகிறது. கட்டளை மற்றும் கட்டுப்பாட்டு (C2) எண்ட்பாயிண்ட்களை மீட்டெடுப்பதற்காக ICP கேனிஸ்டர்கள் ஆயுதமாகப் பயன்படுத்தப்படுவது, பொதுவில் ஆவணப்படுத்தப்பட்ட முதல் நிகழ்வாகும். இது, பாரம்பரியத் தடுப்பு முயற்சிகளைச் சிக்கலாக்கும் ஒரு புதுமையான மற்றும் மீள்திறன் கொண்ட தந்திரத்தை அறிமுகப்படுத்துகிறது.

சமரசம் செய்யப்பட்ட தொகுப்புகள் மற்றும் ஆரம்ப அணுகல் திசையன்

இந்தத் தாக்குதல் பல்வேறு அளவிலான பல npm தொகுப்புகளைப் பாதித்துள்ளது, இது மென்பொருள் விநியோகச் சங்கிலிக்குள் ஒரு பரந்த பாதிப்புப் பகுதியை வெளிப்படுத்துகிறது:

• @EmilGroup வரையறைக்குள் 28 தொகுப்புகள்
• @opengov வரையறைக்குள் 16 தொகுப்புகள்
• @teale.io/eslint-config, @airtm/uuid-base32, மற்றும் @pypestream/floating-ui-dom உள்ளிட்ட கூடுதல் தொகுப்புகள்.

அடையாளச் சான்று திருட்டுச் சம்பவத்தைத் தொடர்ந்து உடனடியாக இந்தச் செயல்பாடு நடைபெற்றுள்ளது. இந்தச் சம்பவம், அடையாளச் சான்றுகளைத் திருடும் உள்ளமைக்கப்பட்ட செயல்பாடுகளைக் கொண்ட Trivy, Trivy-action, மற்றும் setup-trivy போன்ற Trivy தொடர்பான கருவிகளின் தீங்கிழைக்கும் பதிப்புகளைத் தாக்குதல் நடத்துபவர்கள் வெளியிட வழிவகுத்தது. இந்தச் செயல்பாடு, TeamPCP என அடையாளம் காணப்பட்ட, கிளவுட் சார்ந்த இணையக் குற்றக் குழுவுடன் தொடர்புடையதாக நம்பப்படுகிறது.

தொற்று பணிப்பாய்வு மற்றும் பரவலாக்கப்பட்ட கட்டளை உள்கட்டமைப்பு

npm தொகுப்பு நிறுவல் செயல்முறையின் போது இந்தத் தொற்றுச் சங்கிலி தொடங்குகிறது, அப்போது ஒரு போஸ்ட்இன்ஸ்டால் ஸ்கிரிப்ட் ஒரு லோடரை இயக்குகிறது. இந்த லோடர், ICP கேனிஸ்டருடன் தொடர்பு கொள்ள வடிவமைக்கப்பட்ட பைதான் அடிப்படையிலான ஒரு பின்கதவை நிறுவுகிறது. அந்தக் கேனிஸ்டர் ஒரு டெட் டிராப் ரிசால்வராகச் செயல்பட்டு, பாதிக்கப்பட்ட கணினியை அடுத்த கட்ட பேலோடைப் பதிவிறக்கம் செய்து இயக்குமாறு வழிநடத்தும் ஒரு URL-ஐத் திருப்பி அனுப்புகிறது.

ICP உள்கட்டமைப்பின் பரவலாக்கப்பட்ட தன்மை, தாக்குதல் நடத்துபவர்களுக்கு ஒரு குறிப்பிடத்தக்க சாதகத்தை வழங்குகிறது. கேனிஸ்டரால் பேலோட் URL-ஐ மாறும் தன்மையுடன் புதுப்பிக்க முடிவதால், அச்சுறுத்தல் செய்பவர்கள், ஏற்கனவே நிலைநிறுத்தப்பட்ட மால்வேரை மாற்றியமைக்காமலேயே, பாதிக்கப்பட்ட அனைத்து கணினிகளிலும் புதிய தீங்கிழைக்கும் பைனரிகளைப் பரப்ப முடியும். இந்தக் கட்டமைப்பு, மால்வேரை அகற்றும் முயற்சிகளையும் கணிசமாக மிகவும் சவாலானதாக ஆக்குகிறது.

நிலைத்தன்மை பொறிமுறை மற்றும் மறைமுக நுட்பங்கள்

தீங்கிழைக்கும் செயல்முறையைத் தானாகவே மறுதொடக்கம் செய்ய கட்டமைக்கப்பட்ட ஒரு systemd பயனர் சேவையை உருவாக்குவதன் மூலம் நிலைத்தன்மை அடையப்படுகிறது. முக்கிய பண்புகள் பின்வருமாறு:

• Restart=always கட்டளை மூலம் தானியங்கி மறுதொடக்கம் செயல்படுத்தப்படுகிறது.
• பின்கதவு நிறுத்தப்பட்டால், அதை மீண்டும் தொடங்குவதற்கு முன் 5 வினாடிகள் தாமதம் ஏற்படும்.
• 'pgmon' என்ற பெயரில் சேவையை முறையான PostgreSQL கண்காணிப்பு மென்பொருளாக மாறுவேடமிடுதல்

இந்த அணுகுமுறை, முறையான கணினி சேவைகளுடன் ஒன்றிணைந்து செயல்படுவதன் மூலம், கண்டறியப்படுவதற்கான வாய்ப்பைக் குறைத்து, தொடர்ச்சியான செயல்பாட்டை உறுதி செய்கிறது.

தகவமைப்பு பேலோட் விநியோகம் மற்றும் கில் சுவிட்ச் நடத்தை

சந்தேகம் ஏற்படுவதைத் தவிர்ப்பதற்காக, அந்தப் பின்கதவு, போலியான உலாவி பயனர் முகவரைப் (User-Agent) பயன்படுத்தி, ஒவ்வொரு 50 நிமிடங்களுக்கும் ஒருமுறை ICP கேனிஸ்டருடன் சீராகத் தொடர்பு கொள்கிறது. திரும்ப வரும் URL அடுத்த நடவடிக்கையைத் தீர்மானிக்கிறது:

• URL ஒரு சரியான பேலோடைச் சுட்டிக்காட்டினால், தீம்பொருள் அதைப் பதிவிறக்கி இயக்கும்.
• URL-இல் 'youtube.com' இடம்பெற்றிருந்தால், தீம்பொருள் செயலற்ற நிலைக்குச் சென்றுவிடும்.

இந்த இயங்குமுறை, ஒரு தொலைநிலை முடக்கும் சுவிட்சாகத் திறம்படச் செயல்படுகிறது. அந்த கேனிஸ்டரின் URL-ஐ ஒரு தீங்கற்ற யூடியூப் இணைப்புக்கும் தீங்கிழைக்கும் பேலோடுக்கும் இடையில் மாற்றுவதன் மூலம், தாக்குபவர் பாதிக்கப்பட்ட அனைத்து கணினிகளிலும் தீம்பொருளைச் செயல்படுத்தவோ அல்லது செயலிழக்கச் செய்யவோ முடியும். குறிப்பிடத்தக்க வகையில், தீம்பொருள் முந்தைய செயல்முறைகளை முடிவுக்குக் கொண்டுவராததால், முன்பு செயல்படுத்தப்பட்ட பேலோடுகள் பின்னணியில் தொடர்ந்து இயங்கிக்கொண்டே இருக்கின்றன.

ஒரு தனி பைதான் டிராப்பர் வழியாக அதே ICP உள்கட்டமைப்புடன் தொடர்பு கொள்ளும், ட்ரோஜன் தாக்கப்பட்ட டிரிவி பைனரியிலும் (பதிப்பு 0.69.4) இதேபோன்ற யூடியூப் அடிப்படையிலான கில் சுவிட்ச் காணப்பட்டுள்ளது.

புழுவின் திறன்கள் மற்றும் தானியங்கி இனப்பெருக்கம்

ஆரம்பத்தில், இந்தத் தாக்குதல் பரவுவதற்கு, 'deploy.js' என்ற கைமுறையாக இயக்கப்படும் ஸ்கிரிப்ட் ஒன்று பயன்படுத்தப்பட்டது. அது, திருடப்பட்ட npm அங்கீகார டோக்கன்களைப் பயன்படுத்தி, அணுகக்கூடிய தொகுப்புகளுக்குள் தீங்கிழைக்கும் குறியீட்டைச் செலுத்தியது. இந்த ஸ்கிரிப்ட் நிறுவலின் போது தூண்டப்படவில்லை, மாறாக தாக்குதலின் வீச்சை விரிவுபடுத்துவதற்கான ஒரு தனித்த கருவியாகச் செயல்பட்டது.

CanisterWorm-இன் அடுத்தடுத்த பதிப்புகள் குறிப்பிடத்தக்க அளவில் மேம்பட்டுள்ளன. @teale.io/eslint-config-இல் காணப்படும் பதிப்புகள் (பதிப்புகள் 1.8.11 மற்றும் 1.8.12) போன்ற புதிய பதிப்புகளில், இந்த வார்ம் சுய-பரவலை நேரடியாக தொகுப்பின் நிறுவல் செயல்முறையிலேயே இணைத்துக்கொள்கிறது. புதுப்பிக்கப்பட்ட இந்த வழிமுறையில் பின்வருவன அடங்கும்:

• பாதிக்கப்பட்ட சூழலிலிருந்து npm அங்கீகார டோக்கன்களைப் பிரித்தெடுத்தல்
• பரவல் வழக்கத்தை ஒரு தனித்த பின்னணிச் செயலாக உடனடியாகச் செயல்படுத்துதல்
• சேகரிக்கப்பட்ட சான்றுகளைப் பயன்படுத்தி, சமரசம் செய்யப்பட்ட தொகுப்புகளைத் தானியங்கி முறையில் வெளியிடுதல்

இந்த மாற்றம், கைமுறையாக இயக்கப்படும் ஒரு செயல்திட்டமாக இருந்த தாக்குதலை, முற்றிலும் தன்னாட்சி கொண்ட ஒரு பரவல் அமைப்பாக உருமாற்றுகிறது.

தன்னிறைவு பெற்ற விநியோகச் சங்கிலி அச்சுறுத்தலாக தீவிரமடைதல்

தானியங்கு டோக்கன் சேகரிப்பு மற்றும் சுய-பரவல் ஆகியவற்றின் அறிமுகம் ஒரு முக்கியமான தீவிரமடைதலைக் குறிக்கிறது. சமரசம் செய்யப்பட்ட தொகுப்பை நிறுவி, அணுகக்கூடிய npm சான்றுகளைக் கொண்டிருக்கும் எந்தவொரு டெவலப்பர் பணிநிலையம் அல்லது CI/CD பைப்லைனும் ஒரு செயல்திறன் மிக்க பரவல் முனையாக மாறுகிறது. இது ஒரு தொடர் விளைவை உருவாக்குகிறது, இதில் பாதிக்கப்பட்ட தொகுப்புகள் கீழ்நிலை சார்புநிலைகள் முழுவதும் மேலும் தொற்றுகளுக்கு வழிவகுக்கின்றன.

இந்தக் கட்டத்தில், இந்த அச்சுறுத்தலானது தனிப்பட்ட கணக்கு ஊடுருவலைத் தாண்டி, தீம்பொருள் விநியோகத்திற்கான ஒரு சுய-நிலைத்த சூழலமைப்பாக உருவாகிறது. புதிதாகப் பாதிக்கப்பட்ட ஒவ்வொரு சூழலும் பரவலுக்குப் பங்களித்து, அதிவேக வளர்ச்சியைச் சாத்தியமாக்குவதோடு, அதனைக் கட்டுப்படுத்துவதையும் கணிசமாகக் கடினமாக்குகிறது.

கவலையை மேலும் அதிகப்படுத்தும் விதமாக, 'hello123' போன்ற ஒரு தற்காலிக பேலோட் அடங்கிய சோதனைக் கண்டுபிடிப்புகள், தாக்குதல் நடத்துபவர்கள் முழுமையாகச் செயல்படும் தீங்கிழைக்கும் பைனரிகளைப் பயன்படுத்துவதற்கு முன்பு, தாக்குதல் சங்கிலியைத் தீவிரமாகச் செம்மைப்படுத்திச் சரிபார்த்து வருவதைக் காட்டுகின்றன.