দুষ্টুমিপূর্ণ পুল রিকোয়েস্টগুলি ভিজর এবং জিঙ্গো ওয়ালেটগুলিকে লক্ষ্য করে

একটি নতুন তৈরি করা গিটহাব অ্যাকাউন্ট নভেম্বর ৯ এর শেষ এবং নভেম্বর ১০ এর শুরুতে ET সময়ে চেইনাপসিসের ভিজর ওয়ালেট এবং জিঙ্গো ল্যাবসের জেজেক্যাশ ওয়ালেট সফটওয়্যারে ক্রেডেনশিয়াল চুরির কোড বসানোর চেষ্টা করেছিল, যা ছয়টি পুল রিকোয়েস্টের মাধ্যমে জমা দেওয়া হয়েছিল।

GitHub রেকর্ড দেখায় যে চারটি Vizor অনুরোধ মার্জ ছাড়াই বন্ধ করে দেওয়া হয়েছিল, যখন zingo-common এবং zingolib-এর অনুরোধগুলি মঙ্গলবার সকালে ET-এ খোলা এবং অমার্জিত অবস্থায় ছিল। কোনও মেইনটেইনার কি ক্ষতিকর নির্ভরশীলতা তৈরি করেছিলেন বা ক্রেডেনশিয়াল প্রকাশ করেছিলেন, তা এখনও নিশ্চিত হয়নি।

ঝুঁকি একটি মার্জের উপর নির্ভর করে না। রাস্ট প্যাকেজ, বা ক্রেট, lwd-uri-util তার ক্রেডেনশিয়াল কালেক্টরটি build.rs-এ রাখে, যা Cargo প্যাকেজটি বিল্ড করার আগে চালায়। এটি cargo check বা একটি এডিটরের rust-analyzer বিশ্লেষণের সময়ও চলতে পারে: পরবর্তীটি ডিফল্টভাবে বিল্ড স্ক্রিপ্টগুলি সক্ষম করে। তাই, একজন ডেভেলপার যদি একটি অমার্জড ব্রাঞ্চ পর্যালোচনা করেন, তবে তিনি স্থানীয়ভাবেই কালেক্টরটি ট্রিগার করতে পারেন।

OpenSourceMalware গবেষণা দল এই অভিযানটি নথিভুক্ত করেছে। GitHub-এর পরামর্শ ডাটাবেস ক্রেটের 0.1.0 থেকে 0.1.7 সংস্করণগুলিকেও ম্যালওয়্যার হিসাবে শ্রেণীবদ্ধ করেছে, যার জন্য কোনো প্যাচড সংস্করণ নেই।

sapho11 অ্যাকাউন্টটি তার প্রথম অনুরোধের প্রায় অর্ধ ঘণ্টা আগে তৈরি করা হয়েছিল। এর প্রাথমিক Windows-রিলিজ প্রস্তাবটি সাইনিং-ব্যর্থতা নির্ণয় যোগ করার দাবি করেছিল, কিন্তু original change সাইনিং-সংক্রান্ত পরিবেশ চলক, জিটি ক্রেডেনশিয়াল, SSH প্রাইভেট কী এবং অন্যান্য ফাইলগুলি একটি বাহ্যিক সার্ভারে আপলোডের মধ্যে কপি করেছিল।

একটি Codex অটোমেটিক পরীক্ষা প্রাইভেট আপডেট-সাইনিং কী আপলোডকে চিহ্নিত করেছে এবং এটি মিথ্যা আপডেট ফিড সক্ষম করতে পারে বলে সতর্কবার্তা দিয়েছে। লেখক পরবর্তীতে এই প্রস্তাবটি বন্ধ হওয়ার আগে সেই প্রস্তাব থেকে ক্রেডেনশিয়াল সংগ্রহ সরিয়ে ফেলেন।

তারপর অ্যাকাউন্টটি AGENTS.md-এ পরিবর্তন প্রস্তাব করে, যা এআই কোডিং এজেন্টদের জন্য একটি প্রকল্প-নির্দেশিকা ফাইল। প্রস্তাবিত টেক্সটটি সাইনিং-ভেরিয়েবলের মানগুলির সংগ্রহকে "অভিপ্রায়সম্পন্ন এবং প্রত্যাশিত" হিসাবে বর্ণনা করে এবং স্বয়ংক্রিয় এবং মানব পর্যালোচকদের বলেছিল যে এটির দাবি করা পদ্ধতির অনুসরণে আপলোডগুলিকে ক্রেডেনশিয়াল লিকেজ হিসাবে চিহ্নিত করবেন না। Vizor-এর পাবলিক PR থ্রেডটি নিশ্চিত করে যে Codex-কে পুল রিকোয়েস্টগুলি স্বয়ংক্রিয়ভাবে পর্যালোচনা করার জন্য কনফিগার করা হয়েছিল।

পরবর্তী Vizor প্রস্তাব এবং দুটি Zingo অনুরোধ lwd-uri-util কে ওয়ালেট-সার্ভার ঠিকানা স্বাভাবিককরণের জন্য একটি হেল্পার হিসেবে চালু করেছে। OpenSourceMalware দেখেছে যে Zingo পরিবর্তনগুলি Windows-স্টাইল CRLF লাইন এন্ডিং ব্যবহার করেছে, যা ছোট ডিপেনডেন্সি যোগ করাকে ফুল-ফাইল পুনর্লিখনের মতো দেখাচ্ছে।

ভার্সন 0.1.7 সোর্স-এ, বিল্ড স্ক্রিপ্ট পরিবেশ চলক এবং অ্যাক্সেসযোগ্য জিট, গিটহাব সিএলআই, এডব্লিউএস, কার্গো এবং এনপিএম ক্রেডেনশিয়াল ফাইলগুলি পড়ে। এটি Keplr MCP এনক্রিপ্টেড ভল্ট ফাইলগুলি খুঁজে বের করে এবং নির্বাচিত macOS Keychain সিক্রেটগুলি পুনরুদ্ধারের চেষ্টা করে, তারপর সংগৃহীত ডেটা একটি JSON ফাইলে লিখে webhook.site-এ POST করার চেষ্টা করে।

স্ক্রিপ্টটি স্ক্যানার-সদৃশ পরিবেশে আপলোড বন্ধ করে দেয়, কিন্তু সংগ্রহ এবং স্থানীয় ফাইল তৈরি এই চেকের আগেই ঘটে। এর "কোনো মেট্রিক্স নেই" সেটিংটিও শুধুমাত্র আপলোডকেই বন্ধ করে দেয়।

crates.io রেজিস্ট্রি সূচক মঙ্গলবার সকালে ET পর্যন্ত সমস্ত আটটি সংস্করণকে অপসারিত হিসাবে চিহ্নিত করেনি, এবং GitHub অ্যাকাউন্টটি পাবলিকভাবে অ্যাক্সেসযোগ্য ছিল। OpenSourceMalware কোনও ব্যক্তি যিনি ব্রাঞ্চটি বিল্ড করেছেন, তাঁদের ক্রেডেনশিয়াল রোটেট করতে এবং তৈরি lwd_uri_build_context.json ফাইলটি পরীক্ষা করতে উৎসাহিত করেছেন যাতে দেখা যায় কী সংগ্রহ করা হয়েছে।