தீங்கிழைக்கும் பேக்கஜிஸ்ட் PHP தொகுப்புகள்

சைபர் பாதுகாப்பு ஆய்வாளர்கள், Packagist இல் உள்ள தீங்கிழைக்கும் PHP தொகுப்புகளை அடையாளம் கண்டுள்ளனர், அவை முறையான Laravel உதவி நூலகங்களைப் போல ஆள்மாறாட்டம் செய்கின்றன, அதே நேரத்தில் ஒரு குறுக்கு-தளம் ரிமோட் அக்சஸ் ட்ரோஜனை (RAT) ரகசியமாக பயன்படுத்துகின்றன. இந்த தீம்பொருள் விண்டோஸ், மேகோஸ் மற்றும் லினக்ஸ் சூழல்களில் தடையின்றி இயங்குகிறது, இதனால் பாதிக்கப்பட்ட அமைப்புகளுக்கு குறிப்பிடத்தக்க ஆபத்தை உருவாக்குகிறது.

அடையாளம் காணப்பட்ட தொகுப்புகளில் பின்வருவன அடங்கும்:

• nhattuanbl/lara-helper (37 பதிவிறக்கங்கள்)
• nhattuanbl/simple-queue (29 பதிவிறக்கங்கள்)
• nhattuanbl/lara-swagger (49 பதிவிறக்கங்கள்)

nhattuanbl/lara-swagger நேரடியாக தீங்கிழைக்கும் குறியீட்டைக் கொண்டிருக்கவில்லை என்றாலும், அது nhattuanbl/lara-helper ஐ ஒரு இசையமைப்பாளர் சார்புநிலையாக பட்டியலிடுகிறது, இதன் விளைவாக உட்பொதிக்கப்பட்ட RAT நிறுவப்படுகிறது. பொதுவில் வெளிப்படுத்தப்பட்ட போதிலும், இந்த தொகுப்புகள் களஞ்சியத்தில் அணுகக்கூடியதாக இருக்கும், மேலும் பாதிக்கப்பட்ட சூழலில் இருந்து உடனடியாக அகற்றப்பட வேண்டும்.

குழப்பமான தந்திரோபாயங்கள் தீங்கிழைக்கும் நோக்கத்தை மறைக்கின்றன

விரிவான குறியீடு பகுப்பாய்வு, lara-helper மற்றும் simple-queue இரண்டும் கண்டறிதலைத் தவிர்ப்பதற்காக வடிவமைக்கப்பட்ட src/helper.php என்ற கோப்பைக் கொண்டிருப்பதைக் காட்டுகிறது. தீம்பொருள் கட்டுப்பாட்டு ஓட்ட கையாளுதல், குறியிடப்பட்ட டொமைன் பெயர்கள் மற்றும் கட்டளை சரங்கள், மறைக்கப்பட்ட கோப்பு பாதைகள் மற்றும் சீரற்ற மாறி மற்றும் செயல்பாட்டு அடையாளங்காட்டிகள் உள்ளிட்ட மேம்பட்ட தெளிவின்மை உத்திகளை உள்ளடக்கியது.

இந்த நுட்பங்கள் நிலையான பகுப்பாய்வை கணிசமாக சிக்கலாக்குகின்றன மற்றும் தீங்கிழைக்கும் பேலோடு வழக்கமான குறியீடு மதிப்பாய்வு மற்றும் தானியங்கி பாதுகாப்பு ஸ்கேனிங் கருவிகளைத் தவிர்க்க உதவுகின்றன.

கட்டளை மற்றும் கட்டுப்பாட்டு உள்கட்டமைப்பு முழு ஹோஸ்ட் கையகப்படுத்தலை செயல்படுத்துகிறது

செயல்படுத்தப்பட்டதும், RAT போர்ட் 2096 இல் helper.leuleu.net இல் உள்ள கட்டளை-மற்றும்-கட்டுப்பாட்டு (C2) சேவையகத்துடன் இணைப்பை ஏற்படுத்துகிறது. இது கணினி கண்காணிப்புத் தரவை அனுப்புகிறது மற்றும் தொடர்ச்சியான கேட்கும் நிலைக்குச் சென்று, மேலும் வழிமுறைகளுக்காகக் காத்திருக்கிறது. PHP இன் stream_socket_client() செயல்பாட்டைப் பயன்படுத்தி TCP வழியாக தொடர்பு ஏற்படுகிறது.

பின்புறக் கதவு பரந்த அளவிலான ஆபரேட்டர் வழங்கிய கட்டளைகளை ஆதரிக்கிறது, இது முழு கணினி கட்டுப்பாட்டையும் செயல்படுத்துகிறது. திறன்களில் பின்வருவன அடங்கும்:

• பிங் வழியாக ஒவ்வொரு 60 வினாடிகளுக்கும் தானியங்கி இதயத்துடிப்பு சமிக்ஞைகள்.
• தகவல் மூலம் கணினி விவரக்குறிப்பு தரவை அனுப்புதல்.
• ஷெல் கட்டளை செயல்படுத்தல் (cmd).
• பவர்ஷெல் கட்டளை செயல்படுத்தல் (பவர்ஷெல்).
• பின்னணி கட்டளை செயல்படுத்தல் (இயக்கு).

நம்பகத்தன்மையை அதிகரிக்க, RAT PHP disable_functions உள்ளமைவைச் சரிபார்த்து, பின்வருவனவற்றிலிருந்து முதலில் கிடைக்கக்கூடிய செயல்படுத்தல் முறையைத் தேர்ந்தெடுக்கிறது: popen, proc_open, exec, shell_exec, system, அல்லது passthru. இந்த தகவமைப்பு அணுகுமுறை பொதுவான PHP கடினப்படுத்துதல் நடவடிக்கைகளைத் தவிர்க்க அனுமதிக்கிறது.

தொடர்ச்சியான மறு இணைப்பு பொறிமுறை ஆபத்தை அதிகரிக்கிறது

அடையாளம் காணப்பட்ட C2 சேவையகம் தற்போது பதிலளிக்கவில்லை என்றாலும், தீம்பொருள் தொடர்ச்சியான சுழற்சியில் ஒவ்வொரு 15 வினாடிகளுக்கும் இணைப்புகளை மீண்டும் முயற்சிக்க நிரல் செய்யப்பட்டுள்ளது. இந்த நிலைத்தன்மை வழிமுறை, தாக்குபவர் சேவையக கிடைக்கும் தன்மையை மீட்டெடுத்தால், சமரசம் செய்யப்பட்ட அமைப்புகள் வெளிப்படும் என்பதை உறுதி செய்கிறது.

lara-helper அல்லது simple-queue-ஐ நிறுவிய எந்த Laravel பயன்பாடும் உட்பொதிக்கப்பட்ட RAT உடன் திறம்பட செயல்படுகிறது. அச்சுறுத்தல் நடிகர் முழு தொலைதூர ஷெல் அணுகலைப் பெறுகிறார், தன்னிச்சையான கோப்புகளைப் படித்து மாற்றியமைக்கும் திறன் மற்றும் ஒவ்வொரு பாதிக்கப்பட்ட ஹோஸ்டுக்கும் கணினி-நிலை விவரங்களில் தொடர்ச்சியான தெரிவுநிலையைப் பெறுகிறார்.

செயல்படுத்தல் சூழல் தாக்கத்தை அதிகரிக்கிறது

ஒரு சேவை வழங்குநர் வழியாக பயன்பாட்டு துவக்கத்தின் போது அல்லது எளிய-வரிசையில் வகுப்பு ஆட்டோலோடிங் மூலம் செயல்படுத்தல் தானாகவே நிகழ்கிறது. இதன் விளைவாக, RAT வலை பயன்பாட்டின் அதே செயல்முறைக்குள் செயல்படுகிறது, ஒரே மாதிரியான கோப்பு முறைமை அனுமதிகள் மற்றும் சூழல் மாறிகளைப் பெறுகிறது.

இந்த செயல்படுத்தல் சூழல், தரவுத்தள சான்றுகள், API விசைகள் மற்றும் .env கோப்பின் உள்ளடக்கங்கள் போன்ற முக்கியமான சொத்துக்களை அணுகுவதற்கு தாக்குபவர்களுக்கு அனுமதிக்கிறது. எனவே சமரசம் கணினி-நிலை கட்டுப்பாட்டைத் தாண்டி பயன்பாட்டு ரகசியங்கள் மற்றும் உள்கட்டமைப்பு அணுகலை முழுமையாக வெளிப்படுத்துவது வரை நீண்டுள்ளது.

சுத்தமான தொகுப்புகள் மூலம் நம்பகத்தன்மையை உருவாக்கும் உத்தி

மேலும் விசாரணையில், அதே வெளியீட்டாளர் கூடுதல் தொகுப்புகளை வெளியிட்டார் - nhattuanbl/lara-media, nhattuanbl/snooze, மற்றும் nhattuanbl/syslog - இவை தீங்கிழைக்கும் குறியீட்டைக் கொண்டிருக்கவில்லை. இவை நம்பிக்கையை அதிகரிக்கவும் ஆயுதம் ஏந்திய தொகுப்புகளை ஏற்றுக்கொள்வதை ஊக்குவிக்கவும் வடிவமைக்கப்பட்ட நற்பெயரை உருவாக்கும் கலைப்பொருட்களாகச் செயல்படுவதாகத் தெரிகிறது.

உடனடி தணிப்பு மற்றும் பதிலளிப்பு நடவடிக்கைகள்

தீங்கிழைக்கும் தொகுப்புகளில் ஏதேனும் ஒன்றை நிறுவிய நிறுவனங்கள் சமரசம் செய்து கொள்ள வேண்டும். தேவையான பதிலளிப்பு நடவடிக்கைகளில் பாதிக்கப்பட்ட நூலகங்களை உடனடியாக அகற்றுதல், பயன்பாட்டு சூழலில் இருந்து அணுகக்கூடிய அனைத்து சான்றுகளையும் சுழற்சி செய்தல் மற்றும் அடையாளம் காணப்பட்ட C2 உள்கட்டமைப்பிற்கான இணைப்புகளுக்கான வெளிச்செல்லும் நெட்வொர்க் போக்குவரத்தை முழுமையாக தணிக்கை செய்தல் ஆகியவை அடங்கும்.

கட்டளை மற்றும் கட்டுப்பாட்டு உள்கட்டமைப்பு மீண்டும் செயல்படத் தொடங்கினால், தீர்க்கமாக பதிலளிக்கத் தவறினால், அமைப்புகள் புதுப்பிக்கப்பட்ட தாக்குபவர் அணுகலுக்கு ஆளாக நேரிடும்.