கிரிப்டோகரன்சியை இலக்காகக் கொண்ட அதிநவீன விநியோகச் சங்கிலித் தாக்குதலில் ஆக்சியோஸ் நூலகத்தைக் கைப்பற்றிய வட கொரிய ஹேக்கர்கள்

பிரபலமான குறியீட்டுக் களஞ்சியத்தில் தாக்குதல்காரர்கள் நச்சுக் குறியீட்டைச் செலுத்தியதால் மில்லியன் கணக்கான உருவாக்குநர்கள் அச்சுறுத்தலுக்கு உள்ளாகினர்

சமீபத்திய நினைவில் காணப்பட்ட செயல்பாட்டு ரீதியாக மிக அதிநவீன விநியோகச் சங்கிலித் தாக்குதல்களில் ஒன்றை வட கொரிய ஹேக்கர்கள் நடத்தியிருக்கலாம் எனச் சந்தேகிக்கப்படுகிறது. வாரந்தோறும் சுமார் 100 மில்லியன் முறை பதிவிறக்கம் செய்யப்படும் ஜாவாஸ்கிரிப்ட் நூலகமான ஆக்சியோஸை அவர்கள் சமரசம் செய்துள்ளனர். மார்ச் 31 அதிகாலையில் சுமார் மூன்று மணி நேரம் நீடித்த இந்தத் தாக்குதலில், சுகாதாரம், நிதி, கிரிப்டோகரன்சி பரிமாற்றங்கள் மற்றும் தொழில்நுட்பத் துறைகளைச் சேர்ந்த ஆயிரக்கணக்கான நிறுவனங்கள் பயன்படுத்தும் மென்பொருளில் தீங்கிழைக்கும் குறியீடு புகுத்தப்பட்டது. நூலகத்தைப் பயன்படுத்துவோரில் சுமார் மூன்று சதவீதத்தினர் நச்சேற்றப்பட்ட பதிப்புகளைப் பதிவிறக்கம் செய்திருக்கலாம் என்றும், கிரிப்டோகரன்சியையும் நிறுவனங்களின் உள்நுழைவுச் சான்றுகளையும் திருட வடிவமைக்கப்பட்ட தொலைநிலை அணுகல் ட்ரோஜான்கள் நூறாயிரக்கணக்கான கணினி அமைப்புகளை அச்சுறுத்தியிருக்கலாம் என்றும் பாதுகாப்பு ஆய்வாளர்கள் மதிப்பிடுகின்றனர்.

ஆக்சியோஸ் என்பது வாக்குறுதி அடிப்படையிலான HTTP கிளையண்ட் ஆகும். இது Node.js மற்றும் உலாவிகள் இரண்டிலிருந்தும் ஒத்திசைவற்ற API கோரிக்கைகளைச் செய்ய உதவுவதால், நவீன இணையப் பயன்பாடுகளின் அடிப்படைக் கூறாக விளங்குகிறது. சுகாதார சேவை வழங்குநர்கள் முதல் நிதி நிறுவனங்கள் வரை பல நிறுவனங்கள், இணையதளங்களை உருவாக்குவதையும் தரவுப் பரிமாற்றத்தையும் எளிதாக்க இந்த நூலகத்தை நம்பியுள்ளன. டிஜிட்டல் சொத்துத் துறையில் செயல்படும் சில கிரிப்டோகரன்சி நிறுவனங்களும் தொழில்நுட்ப நிறுவனங்களும் இந்த மென்பொருளைப் பயன்படுத்துகின்றன. இதனால், பியாங்யாங்கின் வருவாய் ஈட்டும் இணையச் செயல்பாடுகளுக்கு அவை குறிப்பாக மதிப்புமிக்க இலக்குகளாகின்றன. நிறுவனச் சூழல்களில் ஆக்சியோஸ் பரவலாகப் பயன்படுத்தப்படுவதால், இந்தச் சமரசம் அதைச் சார்ந்த பிற மென்பொருள்களுக்கும் ஒருங்கிணைந்த சேவைகளுக்கும் தொடர்ச்சியான அபாயங்களை உருவாக்குகிறது.

கூகுளின் அச்சுறுத்தல் நுண்ணறிவுக் குழு, 2018ஆம் ஆண்டிலிருந்தாவது செயல்பட்டு வரும், நிதி ஆதாயத்தை நோக்கமாகக் கொண்ட வட கொரிய அச்சுறுத்தல் குழுவான UNC1069-க்கு இந்தச் சம்பவத்தை அதிகாரபூர்வமாகப் பொறுப்பாக்கியுள்ளது. பியாங்யாங்கின் அணு மற்றும் ஏவுகணைத் திட்டங்களுக்கு நிதியளிப்பதற்காக கிரிப்டோகரன்சி பரிமாற்றங்கள், பரவலாக்கப்பட்ட நிதித் தளங்கள் மற்றும் துணிகர முதலீட்டு நிறுவனங்களை இலக்காகக் கொண்டதன் மூலம் இந்தக் குழு பெயர் பெற்றுள்ளது. கூகுளுக்குச் சொந்தமான நுண்ணறிவு நிறுவனமான மாண்டியன்ட் கூறுகையில், உயர்மதிப்புள்ள பொருளாதார இலக்குகளுக்கு எதிராக உலகளாவிய மென்பொருள் விநியோகச் சங்கிலியை ஆயுதமாக்கும் வட கொரியாவின் நடவடிக்கையில் இது அண்மைய தீவிரப்படுத்தலாகும்.

மாண்டியன்ட்டின் தலைமைத் தொழில்நுட்ப அதிகாரி சார்ல்ஸ் கார்மகல், இந்த அச்சுறுத்தல் நீண்டகாலம் நீடிக்கும் தன்மையுடையது என்று விளக்கினார்.

இந்த மென்பொருள் விநியோகச் சங்கிலித் தாக்குதலில் அண்மையில் அவர்கள் பெற்ற உள்நுழைவுச் சான்றுகளையும் கணினி அமைப்புகளுக்கான அணுகலையும் பயன்படுத்தி, நிறுவனங்களைக் குறிவைத்து கிரிப்டோகரன்சியைத் திருட முயல்வார்கள் என எதிர்பார்க்கிறோம். இந்த நடவடிக்கையின் தொடர்ச்சியான தாக்கத்தை மதிப்பிடப் பல மாதங்கள் ஆகலாம்.

ஹன்ட்ரெஸ்ஸின் பாதுகாப்பு ஆய்வாளர் ஜான் ஹம்மண்ட் கூறுகையில், சுமார் 12 நிறுவனங்களுக்குச் சொந்தமான, சமரசம் செய்யப்பட்ட ஏறத்தாழ 135 சாதனங்களைத் தங்கள் நிறுவனம் ஏற்கெனவே கண்டறிந்துள்ளது. தடயவியல் தணிக்கைகளை நிறுவனங்கள் முடிக்கும்போது மேலும் கண்டுபிடிப்புகள் வெளியாகும் என்பதால், இது தொடக்க அலையாக மட்டுமே இருக்கலாம் என அவர் எதிர்பார்க்கிறார்.

விநியோகச் சங்கிலிச் சமரசத்தின் செயல்முறை

ஆக்சியோஸ் நூலகத்தின் முதன்மைப் பராமரிப்பாளரான @jasonsaayman-இன் npm கணக்கை ஹேக்கர்கள் கைப்பற்றியபோது இந்தத் தாக்குதல் தொடங்கியது. அதிநவீன, இதுவரை அறியப்படாத பாதிப்புகளைப் பயன்படுத்துவதற்குப் பதிலாக, OpenID Connect அடிப்படையிலான அங்கீகாரச் செயல்முறைகள் உள்ளிட்ட நவீன பாதுகாப்புக் கட்டுப்பாடுகளைத் தாண்டுவதற்கு, நீண்டகாலம் செல்லுபடியாகும் அணுகல் டோக்கனைத் தாக்குதல்காரர்கள் பயன்படுத்தினர். இதன் மூலம், வழக்கமான பாதுகாப்பு எச்சரிக்கைகளைத் தூண்டாமலும் பலகாரணி அங்கீகாரத்தைக் கோராமலும், ட்ரோஜான் புகுத்தப்பட்ட 1.14.1 மற்றும் 0.30.4 ஆகிய இரண்டு மென்பொருள் பதிப்புகளை Node Package Manager பதிவேட்டில் நேரடியாக வெளியிட முடிந்தது.

இந்தத் தாக்குதலுக்கு வழிவகுத்த முக்கியமான உள்ளமைவுக் குறைபாட்டை ஹம்மண்ட் சுட்டிக்காட்டினார். OIDC Trusted Publishing அமைக்கப்பட்டிருந்த v1.x கிளையிலும்கூட, வெளியீட்டுச் செயல்முறை OIDC சான்றுகளுடன் NPM_TOKEN-ஐயும் சூழல் மாறியாக அனுப்பியது. இரண்டும் இருக்கும்போது npm, டோக்கனைப் பயன்படுத்துகிறது. எனவே, OIDC உள்ளமைவு எதுவாக இருந்தாலும், நீண்டகாலம் செல்லுபடியாகும் டோக்கனே அனைத்து வெளியீட்டாளர்களுக்கும் நடைமுறையில் அங்கீகார முறையாக இருந்தது. பராமரிப்பாளர் தமது கணக்குகளில் பலகாரணி அங்கீகாரத்தை இயக்கியிருந்தபோதிலும், இந்தக் கட்டமைப்புக் குறைபாடு தாக்குதல்காரர்கள் பாதுகாப்புகளைத் தாண்ட வழிவகுத்தது. பழைய அங்கீகார வழிமுறைகள் நவீனப் பாதுகாப்புக் கட்டமைப்புகளை எவ்வாறு வலுவிழக்கச் செய்யலாம் என்பதை இது காட்டுகிறது.

தாக்குதல்காரர்கள் கவனமான தயாரிப்பையும் பொறுமையையும் வெளிப்படுத்தினர். முக்கியத் தாக்குதலுக்கு 18 மணி நேரத்துக்கு முன்பு, வெளியீட்டு வரலாற்றை உருவாக்கவும், இதுவரை வெளியீடே இல்லாத கணக்கு என்ற சந்தேகத்தைத் தவிர்க்கவும், plain-crypto-js என்ற போலி சார்பு நூலகத்தின் பாதுகாப்பான பதிப்பை வெளியிட்டனர். முதல் தீங்கிழைக்கும் ஆக்சியோஸ் பதிப்பு வெளியிடப்படுவதற்கு 20 நிமிடங்களுக்கு முன்பு, இந்தச் சார்பு நூலகத்தின் ஆயுதமாக்கப்பட்ட பதிப்பை அவர்கள் வெளியிட்டனர். சமரசம் செய்யப்பட்ட நூலகத்தை உருவாக்குநர்கள் நிறுவும்போதோ புதுப்பிக்கும்போதோ தானாக இயங்கும் நிறுவலுக்குப் பிந்தைய நிரல் அதில் இடம்பெற்றிருந்தது. இரண்டாவது பின்கதவு பதிப்பு வெறும் 39 நிமிடங்களுக்குப் பிறகு வெளியிடப்பட்டது. குறுகிய வாய்ப்புக் காலத்தில் அதிகபட்சப் பரவலை உறுதிசெய்ய, குழு தனது வெளியீட்டுச் செயல்முறையைத் தானியக்கமாக்கியிருந்ததை இது காட்டுகிறது.

தாக்குதலின்போது, கட்டுப்பாட்டை மீண்டும் கைப்பற்றப் பராமரிப்பாளர்கள் பெரும் சவால்களை எதிர்கொண்டனர். பொதுவான GitHub விவாதத்தில், தீங்கிழைக்கும் வெளியீட்டுக்குப் பொறுப்பான கணக்கின் அணுகலைத் தங்களால் ரத்து செய்ய முடியவில்லை என்றும், தாக்குதல்காரரின் அனுமதிகள் தங்களுடையதைவிட அதிகமாக இருந்ததாகவும் ஒரு பங்களிப்பாளர் தெரிவித்தார். இதனால், ஹேக்கர்கள் வெளியீட்டு உரிமையைத் தக்கவைத்துக்கொண்டிருக்க, சேதத்தைக் கட்டுப்படுத்த மென்பொருள் உருவாக்குநர் சமூகம் விரைந்ததால் காலத்துடனான போட்டி ஏற்பட்டது. NPM பின்னர், தீங்கிழைக்கும் பதிப்புகள் முதலில் வெளியிடப்பட்ட மூன்று மணி நேரத்துக்குப் பிறகு அவற்றை நீக்கியது. மேலும் plain-crypto-js தொகுப்புக்குப் பாதுகாப்பு முடக்கத்தை விதித்து, ஒரு மணி நேரத்துக்குப் பிறகு அதை ஒரு பாதுகாப்பு அறிவிப்புத் தொகுப்பால் மாற்றியது.

பல தளங்களில் செயல்படும் தீம்பொருள் நீடித்த பின்கதவை ஏற்படுத்துகிறது

நிறுவப்பட்டதும், தீங்கிழைக்கும் சார்பு நூலகம் SILKBELL எனப் பெயரிடப்பட்ட, மறைக்கப்பட்ட ஜாவாஸ்கிரிப்ட் நிரலைச் செலுத்தியது. அது sfrclak.com என்ற தொலைநிலை கட்டளை மற்றும் கட்டுப்பாட்டு சேவையகத்திலிருந்து தளத்துக்கேற்ற தீங்கிழைக்கும் நிரல்களைப் பெற்றது. விண்டோஸ் கணினிகளுக்கு, தன்னிச்சையான கட்டளைகளை இயக்கக்கூடிய PowerShell அடிப்படையிலான கருவிகளைத் தீம்பொருள் வழங்கியது. macOS பயனர்களுக்கு C++ Mach-O கோப்பும், லினக்ஸ் நிறுவல்களுக்கு பைதான் பின்கதவும் வழங்கப்பட்டன. இந்த இரண்டாம் கட்டத் தீம்பொருளை WAVESHAPER.V2 எனப் பாதுகாப்பு ஆய்வாளர்கள் அடையாளம் கண்டனர். இது, 2023ஆம் ஆண்டு முதலான கிரிப்டோகரன்சித் துறைத் தாக்குதல்களில் UNC1069-க்குப் பொறுப்பாக்கப்பட்ட முந்தைய பின்கதவின் மேம்படுத்தப்பட்ட பதிப்பாகும்.

தாக்குதலின் தொழில்நுட்பக் கட்டமைப்பு, திட்டமிட்ட மறைமுகச் செயல்பாட்டையும் பல்வேறு தளங்களைப் பற்றிய புரிதலையும் காட்டுகிறது. பொது மென்பொருள் களஞ்சியங்களில் தென்பட்டு, குறியீட்டுப் பரிசீலனை எச்சரிக்கைகளைத் தூண்டக்கூடிய ஆக்சியோஸ் மூலக் குறியீட்டை நேரடியாக மாற்றுவதற்குப் பதிலாக, சார்பு நூலகத் தொடர் வழியாக ஹேக்கர்கள் தீங்கிழைக்கும் செயல்பாட்டைச் செலுத்தினர். “ஆக்சியோஸுக்குள் தீங்கிழைக்கும் குறியீட்டின் ஒரு வரிகூட இல்லை; அதுதான் இந்தத் தாக்குதலை இவ்வளவு ஆபத்தானதாக்குகிறது” என்று StepSecurity ஆய்வாளர்கள் தெரிவித்தனர். plain-crypto-js தொகுப்பு, அதன் package.json கோப்பிலுள்ள postinstall கட்டளை வழியாகச் செயல்பட்டு, நிறுவல் நேரத்தில் தீம்பொருள் அமைதியாக இயங்க அனுமதித்தது. பின்னர், அது தனது தடயங்களை அழித்து, தொகுப்பின் தகவல்களைப் பாதுகாப்பான பதிப்பால் மாற்றியது.

WAVESHAPER.V2 ஒவ்வொரு 60 விநாடிக்கும் தனது கட்டளை மற்றும் கட்டுப்பாட்டுக் கட்டமைப்புக்குச் சமிக்ஞை அனுப்புகிறது. கட்டளை வரி வாதங்கள் வழியாக மாறும் C2 URL-களையும் ஏற்றுக்கொள்கிறது. இதன் மூலம், தீம்பொருளை மறுபடியும் செலுத்தாமலேயே தாக்குதல்காரர்கள் கட்டமைப்பை மாற்ற முடியும். இந்தப் பின்கதவு நான்கு முதன்மைச் செயல்பாடுகளை ஆதரிக்கிறது: செயலாக்கத்தை நிறுத்துதல்; நேர முத்திரைகள், கோப்பு அளவுகள் உள்ளிட்ட விரிவான கோப்புத் தகவல்களுடன் கோப்பகங்களைப் பட்டியலிடுதல்; macOS-இல் AppleScript அல்லது Linux-இல் ஷெல் கட்டளைகள் போன்ற சொந்த ஸ்கிரிப்டிங் மொழிகள் வழியாகக் கணினிக் கட்டளைகளை இயக்குதல்; இயங்கிக்கொண்டிருக்கும் செயல்முறைகளுக்குள் தன்னிச்சையான பைனரி கோப்புகளைச் செலுத்துதல். macOS பைனரி, முந்தைய RustBucket மற்றும் Hidden Risk தீம்பொருள் நடவடிக்கைகளில் பயன்படுத்தப்பட்ட BlueNoroff-இன் webT தொகுதியுடன் நேரடியாகத் தொடர்புடைய உருவாக்குநர் கட்டமைப்பு பாதைகளைக் குறிப்பிடுவதை Elastic Security Labs ஆய்வு கண்டறிந்தது. இது வட கொரியத் தொடர்பைக் கூடுதலாக உறுதிப்படுத்துகிறது.

பியாங்யாங்கின் டிஜிட்டல் வருவாய் இயந்திரம்

வட கொரியாவின் ஹேக்கிங் நடவடிக்கைகள், தடைகளுக்கு உட்பட்ட அதன் அணு ஆயுதத் திட்டத்துக்கான முக்கிய நிதி ஆதாரமாக மாறியுள்ளன. ஐக்கிய நாடுகள் சபையின் அறிக்கைகள் மற்றும் 2023ஆம் ஆண்டு வெளியிடப்பட்ட வெள்ளை மாளிகை மதிப்பீடுகளின்படி, பியாங்யாங்கின் ஏவுகணை மேம்பாட்டு நிதியில் ஏறத்தாழ பாதி இணையத் திருட்டிலிருந்து கிடைக்கிறது. கடந்த சில ஆண்டுகளில் வங்கிகள் மற்றும் கிரிப்டோகரன்சி நிறுவனங்களிடமிருந்து ஹேக்கர்கள் பல பில்லியன் டாலர்களைத் திருடியுள்ளனர். கடந்த ஆண்டு மட்டும், வட கொரியச் செயல்பாட்டாளர்கள் ஒரே சாதனை அளவிலான கொள்ளையில் 1.5 பில்லியன் டாலர் மதிப்புள்ள கிரிப்டோகரன்சியைத் திருடினர். உயர்மதிப்புள்ள இலக்குகளைப் பெரிய அளவில் சமரசம் செய்யும் அவர்களின் திறனை இது காட்டுகிறது.

Wiz நிறுவனத்தின் மூலோபாய அச்சுறுத்தல் நுண்ணறிவுப் பிரிவின் இயக்குநர் பென் ரீட், பிற அரசுத் தரப்பு அச்சுறுத்தல் குழுக்களிலிருந்து வட கொரியா வேறுபட்டு இயங்குகிறது என்று விளக்கினார்.

வட கொரியா தனது நற்பெயரைப் பற்றியோ, இறுதியில் அடையாளம் காணப்படுவதைப் பற்றியோ கவலைப்படுவதில்லை. எனவே, இத்தகைய நடவடிக்கைகள் மிக வெளிப்படையாகவும் பரபரப்பாகவும் இருந்தாலும், அதற்கான விலையைச் செலுத்த அவர்கள் தயாராக இருக்கிறார்கள்.

இந்த இடர் ஏற்புத் தன்மை, பிற நாடுகள் தூதரகப் பின்விளைவுகள் அல்லது பொறுப்பைச் சுட்டிக்காட்டுவது குறித்த கவலைகளால் தவிர்க்கக்கூடிய துணிகரமான விநியோகச் சங்கிலித் தாக்குதல்களைப் பியாங்யாங் நடத்த அனுமதிக்கிறது. சுகாதார நிறுவனங்களும் ஹோட்டல் சங்கிலிகளும் குரல் மற்றும் காணொளி அழைப்புகளுக்குப் பயன்படுத்தும் மென்பொருள் வழங்குநரான 3CX-க்குள் வட கொரியச் செயல்பாட்டாளர்கள் ஊடுருவியதாகக் கூறப்பட்ட சம்பவம் மூன்று ஆண்டுகளுக்கு முன்பு நடந்தது. அந்தச் செயல்முறையைத் தொடர்ந்து ஆக்சியோஸ் சமரசம் நிகழ்ந்துள்ளது.

கூகுளின் அச்சுறுத்தல் நுண்ணறிவுக் குழுவின் தலைமை ஆய்வாளர் ஜான் ஹல்ட்க்விஸ்ட், டிஜிட்டல் சொத்துகள் மீதான குழுவின் குறிப்பிட்ட கவனத்தை வலியுறுத்தினார்.

விநியோகச் சங்கிலித் தாக்குதல்களில் வட கொரிய ஹேக்கர்களுக்கு ஆழ்ந்த அனுபவம் உள்ளது. கிரிப்டோகரன்சியைத் திருடவே அவர்கள் வரலாற்று ரீதியாக இத்தகைய தாக்குதல்களைப் பயன்படுத்தியுள்ளனர். இந்தச் சம்பவத்தின் முழு அளவு இன்னும் தெளிவாகவில்லை. ஆனால், சமரசம் செய்யப்பட்ட தொகுப்பு பிரபலமானது என்பதால், இதன் தாக்கம் பரவலாக இருக்கும் என எதிர்பார்க்கிறோம்.

UNC1069 இதற்கு முன்பும் போலி Zoom கூட்டங்கள், சமூகப் பொறியியல் உத்திகள், தனித்துவமான பல தீம்பொருள் குடும்பங்கள் ஆகியவற்றைப் பயன்படுத்தி நிதித் தொழில்நுட்ப நிறுவனங்களைக் குறிவைத்துள்ளது. கிரிப்டோகரன்சி சூழலமைப்பின் மீது அந்தக் குழு தொடர்ந்து மாறிவரும் கவனம் செலுத்துவதை இது காட்டுகிறது.

விநியோகச் சங்கிலிப் பாதிப்புகளின் தொடர் விளைவு

திறந்த மூல மென்பொருள் சூழலமைப்பைக் குறிவைக்கும் விநியோகச் சங்கிலித் தாக்குதல்கள் கவலைக்கிடமாக அதிகரித்துவரும் சூழலில் ஆக்சியோஸ் சம்பவம் நிகழ்ந்துள்ளது. கடந்த மாதத்தில், பிரபலமான பாதுகாப்பு ஸ்கேனிங் கருவியான Trivy, AI மாதிரிகளை ஒருங்கிணைக்கப் பரவலாகப் பயன்படுத்தப்படும் பைதான் நூலகமான LiteLLM, தகவல் தொடர்புத் தளமான Telnyx உள்ளிட்டவற்றின் மீதான தாக்குதல்களால் பாதுகாப்புக் குழுக்கள் தொடர்ந்து நடவடிக்கை எடுக்க வேண்டியிருந்தது. ஆக்சியோஸ் தாக்குதலுக்கும் அண்மைய TeamPCP விநியோகச் சங்கிலிப் பிரச்சினைகளுக்கும் தொடர்பில்லை என்று கூகுள் உறுதிப்படுத்தியுள்ளது. எனினும், ஒவ்வொரு வெற்றிகரமான ஊடுருவலும் தாக்குதல்காரர்களுக்குப் புதிய உள்நுழைவுச் சான்றுகளையும் பிற களஞ்சியங்களுக்கான ஆரம்ப அணுகலையும் வழங்குகிறது. இதனால், தானாகத் தொடரும் சமரசச் சுழற்சி உருவாகிறது.

அண்மைய தொடர் தாக்குதல்கள், திருடப்பட்ட ரகசியத் தகவல்களின் மிகப்பெரிய தொகுப்பை உருவாக்கியுள்ளதாக கார்மகல் எச்சரித்தார். “கடந்த இரண்டு வாரங்களில் திருடப்பட்ட ரகசியத் தகவல்கள், அடுத்த சில நாட்கள், வாரங்கள் மற்றும் மாதங்களில் மேலும் மென்பொருள் விநியோகச் சங்கிலித் தாக்குதல்களுக்கும், SaaS சூழல்களின் சமரசம் வழியாக அவற்றின் வாடிக்கையாளர்களைத் தாக்குவதற்கும், பணயத் தொகை மற்றும் மிரட்டல் சம்பவங்களுக்கும், கிரிப்டோ கொள்ளைகளுக்கும் வழிவகுக்கும். நூறாயிரக்கணக்கான திருடப்பட்ட உள்நுழைவுச் சான்றுகள் இருப்பதை நாங்கள் அறிந்துள்ளோம். வெவ்வேறு நோக்கங்களைக் கொண்ட பல்வேறு குழுக்கள் இந்தத் தாக்குதல்களுக்குப் பின்னால் உள்ளன. நேற்று நடந்த ஆக்சியோஸ் npm விநியோகச் சங்கிலித் தாக்குதலின் பாதிப்பு வட்டம் விரிவானது; அதைச் சார்ந்துள்ள பிற பிரபலத் தொகுப்புகளுக்கும் இது பரவுகிறது” என்று அவர் விளக்கினார்.

SentinelOne நிறுவனத்தின் மூத்த ஆய்வாளர் டாம் ஹெகல், இந்த அச்சுறுத்தல் கண்ணுக்குப் புலப்படாத தன்மையுடையது என்பதை வலியுறுத்தினார்.

நீங்கள் ஒவ்வொரு முறையும் ஒரு இணையதளத்தை ஏற்றும்போதும், வங்கிக் கணக்கு இருப்பைச் சரிபார்க்கும்போதும் அல்லது கைப்பேசியில் ஒரு செயலியைத் திறக்கும்போதும், பின்னணியில் எங்கோ ஆக்சியோஸ் இயங்கி அந்தச் செயலுக்கு உதவிக்கொண்டிருக்க அதிக வாய்ப்புள்ளது. நீங்கள் எதையும் சொடுக்க வேண்டியதில்லை; தவறு செய்யவும் வேண்டியதில்லை. நீங்கள் ஏற்கெனவே நம்பும் மென்பொருளே அதை உங்களுக்காகச் செய்துவிட்டது.

நிறுவப்பட்ட மென்பொருள் கூறுகள் மீது பயனர்கள் வைக்கும் மறைமுக நம்பிக்கையை விநியோகச் சங்கிலித் தாக்குதல்கள் எவ்வாறு பயன்படுத்திக்கொள்கின்றன என்பதை இந்தக் கருத்து வலியுறுத்துகிறது. இதன் மூலம், வழக்கமான பாதுகாப்பு விழிப்புணர்வுப் பயிற்சிகளையும் இறுதிப்புள்ளிப் பாதுகாப்புகளையும் அவை தாண்டிச் செல்கின்றன.

தடயங்களை மறைக்கும் உத்திகளும் தடயவியல் எதிர்நடவடிக்கைகளும்

சம்பவத்துக்கான பதிலளிப்பையும் கண்டறிதலையும் சிக்கலாக்கும் அதிநவீன தடயவியல் எதிர் நடவடிக்கைகளைத் தாக்குதல்காரர்கள் செயல்படுத்தினர். இயங்கிய பிறகு, தீம்பொருள் தனது நிறுவல் கோப்புகளை மட்டும் நீக்காமல், பாதுகாப்புக் குழுக்களை ஏமாற்ற பதிப்பு அறிக்கையையும் மாற்றியது. தீங்கிழைக்கும் plain-crypto-js தொகுப்பு, தனது பதிப்பு 4.2.1 என்பதற்குப் பதிலாக 4.2.0 எனத் தெரிவித்தது. தொகுப்பின் ஒருமைப்பாட்டைச் சரிபார்க்கும் பாதுகாப்புக் குழுக்களிடையே இது குழப்பத்தை ஏற்படுத்தியது. இந்தப் பதிப்பு போலியாக்கும் உத்தி, தங்கள் கணினிகளில் சமரசம் செய்யப்பட்ட பதிப்பு நிறுவப்பட்டிருந்தாலும் முறையான மென்பொருளே இயங்குகிறது என்று நிர்வாகிகளை நம்ப வைப்பதை நோக்கமாகக் கொண்டது.

ReversingLabs நிறுவனத்தின் தலைமை மென்பொருள் வடிவமைப்பாளர் டோமிஸ்லாவ் பெரிசின், இந்தத் தாக்குதலைத் தனிப்பட்ட சம்பவமாக அல்லாமல், எதிர்கால நடவடிக்கைகளுக்கான முன்மாதிரியாக விவரித்தார்.

சமரசம் செய்யப்பட்ட பராமரிப்பாளர் உள்நுழைவுச் சான்றுகள், மூன்று இயங்குதளங்களுக்காக முன்கூட்டியே தயாரிக்கப்பட்ட தீங்கிழைக்கும் நிரல்கள், 40 நிமிடங்களுக்குள் இரண்டு வெளியீட்டுக் கிளைகளும் தாக்கப்பட்டது, தடயங்களைத் தானாக அழிக்கும் உள்ளமைவு என இங்கு பதிவுசெய்யப்பட்டுள்ள செயல்பாட்டு அதிநவீனத்தன்மை, அளவுபடுத்தக்கூடிய நடவடிக்கையாக இதைத் திட்டமிட்ட அச்சுறுத்தல் குழுவைக் காட்டுகிறது. இந்த நடவடிக்கை இப்போது PyPI மற்றும் NuGet-இலும் தென்படுகிறது என்றால், அது தாக்குதலின் செயல்முறை ஏற்கெனவே சுட்டிக்காட்டுவதுடன் பொருந்துகிறது: உருவாக்குநர்களை அதிகபட்சமாகச் சென்றடைவதே நோக்கம்.

நிறுவனங்கள் இப்போது npm சார்புகளை மட்டுமல்லாமல், தங்கள் மென்பொருள் உருவாக்கச் செயல்முறைகளுக்கு உள்ளீடு வழங்கும் ஒவ்வொரு தொகுப்பு மேலாளரையும் தணிக்கை செய்ய வேண்டும். தற்போது மென்பொருள் உருவாக்கத்தில் தானியக்கத்தை நோக்கிய போக்கு இருப்பதால், இந்தத் தாக்குதலின் நேரம் குறிப்பாகக் கவலையளிப்பதாக ஹம்மண்ட் தெரிவித்தார். எந்தவிதப் பரிசீலனையோ பாதுகாப்புக் கட்டுப்பாடுகளோ இன்றி நிறுவனங்களில் மென்பொருளை உருவாக்கும் AI முகவர்கள் வேகமாகப் பயன்பாட்டுக்கு வருவதைக் கருத்தில் கொண்டால், இந்த ஊடுருவல் சரியான நேரத்தில் நடந்ததாக அவர் குறிப்பிட்டார். ஆக்சியோஸை நேரடியாகப் பயன்படுத்தும் நிறுவனங்களைத் தாண்டியும் இந்த அபாயம் பரவுகிறது; சார்புகளைத் தானாகத் தீர்மானிக்கும் உருவாக்குநர் கருவிகளைக் கொண்ட எந்த நிறுவனமும் பாதிக்கப்படலாம். தங்கள் பதிப்புகளை நிர்ணயித்து, lockfile-களைப் பராமரித்து, வழக்கமான பாதுகாப்பு நடைமுறைகளைப் பின்பற்றிய உருவாக்குநர்களும் பாதிக்கப்பட்டிருக்கலாம் என்று Semgrep நிறுவனர் ஐசக் எவன்ஸ் சுட்டிக்காட்டினார். ஏனெனில், அவர்களின் ஒருங்கிணைந்த உருவாக்கச் சூழல் பின்னணியில் அந்தச் சார்பு நூலகத்தைப் பெற்றிருக்கலாம்.

மென்பொருள் விநியோகச் சங்கிலியைப் பாதுகாத்தல்

பல்வேறு துறைகளின் பாதுகாப்புக் குழுக்கள், தங்கள் நிறுவனங்கள் எவ்வளவு பாதிக்கப்பட்டுள்ளன என்பதை மதிப்பிட்டு, சமரசம் செய்யப்பட்ட கணினி அமைப்புகளைச் சரிசெய்ய அவசரமாகச் செயல்பட்டு வருகின்றன. ஆக்சியோஸைப் பயன்படுத்தும் நிறுவனங்கள், தங்களது சார்பு மரங்களில் 1.14.1 மற்றும் 0.30.4 பதிப்புகள் உள்ளனவா என உடனடியாகத் தணிக்கை செய்ய வேண்டும்; 1.14.0 அல்லது 0.30.3 போன்ற உறுதிசெய்யப்பட்ட பாதுகாப்பான பதிப்புகளுக்கு மாற வேண்டும்; மேலும் நிறுவல் நடந்த காலப்பகுதியில் அணுகக்கூடியிருந்த அனைத்து உள்நுழைவுச் சான்றுகளையும் மாற்ற வேண்டும். node_modules கோப்பகங்களில் plain-crypto-js இருப்பது, sfrclak.com (IP முகவரி 142.11.206.73) உடனான வலையமைப்பு இணைப்புகள், macOS கணினிகளில் /Library/Caches/com.apple.act.mond போன்ற தற்காலிகக் கோப்பகங்களில் சந்தேகத்திற்கிடமான செயல்முறைகள் இருப்பது ஆகியவை சமரசத்தின் தொழில்நுட்ப அறிகுறிகளாகும்.

உடனடி தடுப்பு நடவடிக்கைகளில், எதிர்பாராத புதுப்பிப்புகளைத் தடுக்க package-lock.json கோப்புகளில் ஆக்சியோஸின் பாதுகாப்பான பதிப்புகளை நிர்ணயித்தல், தீங்கிழைக்கும் சார்பு நூலகம் உள்ளதா எனச் சரிபார்த்தல், கண்டறியப்பட்ட தீங்கிழைக்கும் செயல்முறைகளை நிறுத்துதல், அடையாளம் காணப்பட்ட கட்டளை மற்றும் கட்டுப்பாட்டுக் களத்தை வலையமைப்பு எல்லைகளில் தடுத்தல், பாதிக்கப்பட்ட கணினி அமைப்புகளை உற்பத்தி வலையமைப்பிலிருந்து தனிமைப்படுத்தல், சமரசக் காலத்தில் வெளிப்பட்டிருக்கக்கூடிய அனைத்து ரகசியத் தகவல்களையும் உள்நுழைவுச் சான்றுகளையும் மாற்றுதல் ஆகியவை அடங்கும். தீம்பொருள் திருடியிருக்கக்கூடிய API விசைகள் அல்லது சேவைக் கணக்குகள் அங்கீகரிக்கப்படாத வகையில் பயன்படுத்தப்பட்டுள்ளனவா என்பதைக் கண்டறிய, நிறுவனங்கள் அணுகல் பதிவுகளையும் ஆய்வு செய்ய வேண்டும்.

Sonatype நிறுவனத்தின் களத் தலைமைத் தொழில்நுட்ப அதிகாரி இல்க்கா துருனென், இந்தச் சம்பவம் வெளிப்படுத்திய அடிப்படை நம்பிக்கைச் சிக்கல்களை வலியுறுத்தினார். “மென்பொருள் குறியீட்டின் மீதுள்ள நம்பிக்கையை விட, அந்தக் குறியீட்டைப் பயன்படுத்தும் மனிதர்களின் நம்பிக்கையை ஹேக்கர்கள் இப்போது பயன்படுத்திக்கொள்கிறார்கள் என்பதை இந்தத் தாக்குதல் காட்டுகிறது. தீங்கிழைக்கும் செயல்பாடு, திட்டமிட்டு அறிமுகப்படுத்தப்பட்ட சார்பு நூலகம் வழியாகச் செலுத்தப்பட்டு, அதன் தடயங்களைத் தானாக அழிக்கும் வகையில் வடிவமைக்கப்பட்டது. இதனால் தாக்குதலைக் கண்டறிவதும் புரிந்துகொள்வதும் கடினமாகவும் தாமதமாகவும் ஆனது. இது வெறும் தீம்பொருள் அல்ல; திட்டமிடப்பட்ட, முதிர்ச்சியடைந்த செயல்முறையையும் காட்டுகிறது” என்று அவர் விளக்கினார். ஒரே கணக்கைச் சமரசம் செய்வதால் சில மணி நேரங்களுக்குள் பல்லாயிரக்கணக்கான நிறுவனங்கள் அச்சுறுத்தலுக்கு உள்ளாகலாம் என்பதற்கு, இந்தச் சம்பவங்கள் உலக மென்பொருள் சூழலமைப்பின் பலவீனத்துக்குக் கூடுதல் சான்றளிப்பதாக Kaseya நிறுவனத்தின் பாதுகாப்புத் தலைவர் மைக் புக்லியா குறிப்பிட்டார்.

முக்கியக் குறிப்புகள்

• வாரந்தோறும் 100 மில்லியன் பதிவிறக்கங்களைப் பெறுவதும், சுமார் 80% கிளவுட் சூழல்களில் இடம்பெறுவதுமான ஆக்சியோஸ் ஜாவாஸ்கிரிப்ட் நூலகத்தை, வட கொரிய அச்சுறுத்தல் குழுவான UNC1069 சமரசம் செய்தது
• தீங்கிழைக்கும் 1.14.1 மற்றும் 0.30.4 பதிப்புகள் மார்ச் 31 அன்று சுமார் மூன்று மணி நேரம் கிடைத்தன. பயனர் தளத்தில் சுமார் 3% பேர் அவற்றைப் பதிவிறக்கம் செய்தனர்; இதன் மூலம் 600,000 பதிவிறக்கங்கள் நிகழ்ந்திருக்கலாம்
• Windows, macOS மற்றும் Linux கணினிகளைப் பாதிக்கக்கூடிய WAVESHAPER.V2 என்ற பல தளங்களில் செயல்படும் பின்கதவைப் பரப்ப, plain-crypto-js என்ற போலி சார்பு நூலகத்தைத் தாக்குதல் பயன்படுத்தியது
• திருடப்பட்ட உள்நுழைவுச் சான்றுகளைப் பயன்படுத்தி, வட கொரியாவின் அணு மற்றும் ஏவுகணைத் திட்டங்களுக்கு நிதியளிக்கும் வகையில் நீண்டகால கிரிப்டோகரன்சி திருட்டு நடவடிக்கைகளை அந்தக் குழு மேற்கொள்ளும் என Google Mandiant எதிர்பார்க்கிறது
• கண்டறிதலைத் தவிர்க்க, 4.2.1 என்பதற்குப் பதிலாக 4.2.0 எனத் தெரிவிப்பது, தன்னைத்தானே நீக்கிக்கொள்வது உள்ளிட்ட மேம்பட்ட தடயவியல் எதிர் திறன்கள் தீம்பொருளில் இடம்பெற்றிருந்தன
• நிறுவனங்கள் சார்பு மரங்களைத் தணிக்கை செய்ய வேண்டும்; அனைத்து உள்நுழைவுச் சான்றுகளையும் மாற்ற வேண்டும்; C2 களமான sfrclak.com மற்றும் 142.11.206.73 IP முகவரியைத் தடுக்க வேண்டும்; உடனடியாகப் பாதுகாப்பான ஆக்சியோஸ் பதிப்புகளுக்கு மாற வேண்டும்
• OIDC அங்கீகாரக் கட்டுப்பாடுகளைத் தாண்டிய, நீண்டகாலம் செல்லுபடியாகும் அணுகல் டோக்கன் மூலம் இந்தச் சமரசம் நிகழ்ந்தது. பழைய சான்றுகளை அகற்ற வேண்டியதன் அவசியத்தை இது எடுத்துக்காட்டுகிறது