npm पर bee-js 13.3.0 में मालवेयर, क्रिप्टो वॉलेट की चोरी की कोशिश

bee-js 13.3.0 में क्या हुआ

bee-worker नाम के रिलीज़ अकाउंट से आधिकारिक रिपॉज़िटरी में सीधा commit किया गया। इसके बाद एक रिलीज़ बनाई गई, जिसने GitHub Actions का मौजूदा workflow चला दिया। Socket के मुताबिक npm में दर्ज बिल्ड की जानकारी आधिकारिक रिपॉज़िटरी और प्रोजेक्ट की सामान्य रिलीज़ प्रक्रिया की ओर इशारा करती थी। यानी मैलवेयर पहले से सोर्स कोड में मौजूद था।

हमलावरों ने पैकेज इस तरह बदला कि इंस्टॉल के समय एक स्क्रिप्ट अपने आप चले। अगर ऐसी स्क्रिप्ट चलाने की अनुमति थी, तो मैलवेयर ऐप में लाइब्रेरी इस्तेमाल होने से पहले ही चल जाता था। कोड की टिप्पणियों में अपने सर्वर से संपर्क को "एनालिटिक्स भेजना" बताया गया था। असल में स्क्रिप्ट वहाँ से JavaScript लेती और इंस्टॉल करने वाले यूज़र के अधिकारों के साथ तुरंत चला देती थी।

यह मैलवेयर क्या चुराता था

पेलोड Swarm Desktop के डेटा में वॉलेट की एन्क्रिप्टेड की और कॉन्फ़िगरेशन फ़ाइल खोजता था। कॉन्फ़िगरेशन में की का पासवर्ड हो, तो इन दो फ़ाइलों से वॉलेट पर कब्ज़ा हो सकता था। मैलवेयर सिस्टम में टिके रहने की कोशिश भी करता था।

Linux और macOS पर हमला आगे बढ़कर एक बैकडोर लगाता था, जिससे दूर से कमांड चलाई जा सकती थीं। कमांड सर्वर का पता वह Ethereum के एक स्मार्ट कॉन्ट्रैक्ट से पढ़ता था। ऑपरेटर एक ट्रांज़ैक्शन से पता बदल सकता था, नया मैलवेयर बिल्ड जारी किए बिना।

क्या करें

वर्ज़न ट्रांज़िटिव डिपेंडेंसी के रूप में भी आ सकता था, क्योंकि Swarm के कई टूल्स की डिपेंडेंसी रेंज 13.3.0 को मंज़ूर करती थीं। इसलिए सिर्फ़ मैनिफ़ेस्ट में सीधी डिपेंडेंसी खोजना काफ़ी नहीं है। lock-फ़ाइल, पैकेज कैश और CI के इंस्टॉल लॉग में असल में इस्तेमाल हुआ वर्ज़न देखें।

अगर यह वर्ज़न स्क्रिप्ट की अनुमति के साथ इंस्टॉल हुआ, या Swarm Desktop 0.56.2 चला, तो मशीन या CI रनर की जाँच करें। CI रनर के मामले में पैकेज पब्लिश करने के टोकन और सोर्स कोड तक पहुँच भी जाँच के दायरे में आती है।