दुर्भावनापूर्ण पुल अनुरोध विज़ोर और जिंगो वॉलेट को लक्षित करते हैं

एक नवनिर्मित GitHub खाते ने 9 नवंबर और 10 नवंबर ET के बाद के समय चेनेप्सिस के विज़र वॉलेट और जिंगो लैब्स के ज़कैश वॉलेट सॉफ्टवेयर में पात्रता चोरी कोड डालने की कोशिश की।

GitHub रिकॉर्ड्स दर्शाते हैं कि चार Vizor अनुरोधों को बिना मर्ज किए बंद कर दिया गया, जबकि zingo-common और zingolib में अनुरोध शनिवार की सुबह ET तक खुले और अमर्ज्ड रहे। यह अनुमानित नहीं है कि क्या किसी मेंटेनर ने दुष्ट निर्भरता बनाई या पासवर्ड्स को उजागर किया।

खतरा एक मर्ज पर निर्भर नहीं करता। रस्ट पैकेज, या क्रेट, lwd-uri-util अपना क्रेडेंशियल कलेक्टर build.rs में रखता है, जो Cargo पैकेज बनाने से पहले चलाता है। यह cargo check या एक एडिटर के rust-analyzer विश्लेषण के दौरान भी निष्पादित हो सकता है: बाद के में बिल्ड स्क्रिप्ट्स डिफ़ॉल्ट रूप से सक्षम होते हैं। इसलिए, एक डेवलपर जो एक अनमर्ज की गई शाखा की समीक्षा कर रहा हो, वह स्थानीय रूप से कलेक्टर को ट्रिगर कर सकता है।

OpenSourceMalware शोध टीम ने अभियान को दस्तावेज़ित किया। GitHub का सलाहकार डेटाबेस क्रेट के संस्करण 0.1.0 से 0.1.7 तक को मैलवेयर के रूप में वर्गीकृत करता है, जिसका कोई पैच किया गया संस्करण नहीं है।

खाता, sapho11, अपने पहले अनुरोध से लगभग आधे घंटे पहले बनाया गया था। इसका प्रारंभिक Windows-रिलीज प्रस्ताव साइनिंग-विफलता निदान जोड़ने का दावा करता था, लेकिन मूल बदलाव ने साइनिंग-संबंधी पर्यावरण चर, Git पारित्र, SSH निजी कुंजियाँ और अन्य फ़ाइलें एक बाहरी सर्वर पर अपलोड करने में कॉपी कर दीं।

एक Codex स्वचालित समीक्षा ने प्राइवेट अपडेट-साइनिंग कुंजी अपलोड को फ्लैग किया और चेतावनी दी कि इससे झूठे अपडेट फीड्स सक्षम हो सकते हैं। लेखक ने इस प्रस्ताव को बंद करने से पहले बाद में पार्य एकत्रीकरण हटा दिया।

खाता ने फिर AGENTS.md में बदलाव का प्रस्ताव रखा, जो AI कोडिंग एजेंट्स के लिए एक प्रोजेक्ट-निर्देश फाइल है। प्रस्तावित पाठ में साइनिंग-वेरिएबल मानों के संग्रह को "इरादेमंद और अपेक्षित" बताया गया था और स्वचालित और मानव समीक्षकों को इसके दावा किए गए अनुसार अपलोड को क्रेडेंशियल लीकेज के रूप में नहीं चिह्नित करने के लिए कहा गया था। विज़ोर की सार्वजनिक पीआर थ्रेड से पुष्टि होती है कि कोडेक्स को पुल रिक्वेस्ट्स की स्वचालित समीक्षा के लिए कॉन्फ़िगर किया गया था।

बाद के Vizor प्रस्ताव और दो Zingo अनुरोधों ने वॉलेट-सर्वर पतों को सामान्यीकृत करने के लिए lwd-uri-util को एक सहायक के रूप में पेश किया। OpenSourceMalware ने पाया कि Zingo बदलावों में विंडोज-शैली CRLF लाइन समापन हैं, जिससे छोटी निर्भरता जोड़ने को पूरी फाइल पुनर्लिखन के रूप में दिखाया गया।

संस्करण 0.1.7 स्रोत में, बिल्ड स्क्रिप्ट पर्यावरण चर और उपलब्ध Git, GitHub CLI, AWS, Cargo और npm पारित्रों की फ़ाइलों को पढ़ती है। यह Keplr MCP एन्क्रिप्टेड वॉलेट फ़ाइलों की भी तलाश करती है और चयनित macOS Keychain सीक्रेट्स प्राप्त करने का प्रयास करती है, फिर संग्रहीत डेटा को एक JSON फ़ाइल में लिखती है और इसे webhook.site पर POST करने का प्रयास करती है।

स्क्रिप्ट स्कैनर-जैसे वातावरण में अपलोड को रोकती है, लेकिन संग्रह और स्थानीय फ़ाइल निर्माण इस जांच से पहले हो जाते हैं। इसकी "कोई मेट्रिक्स नहीं" सेटिंग केवल अपलोड को ही रोकती है।

crates.io रजिस्ट्री सूचकांक ने मंगलवार की सुबह ET तक सभी आठ संस्करणों को अभी भी अनुमति हटाए जाने के रूप में चिह्नित किया था, और GitHub खाता अभी भी सार्वजनिक रूप से पहुँचने योग्य था। OpenSourceMalware ने किसी भी व्यक्ति को आह्वान किया कि वह शाखा बनाने के बाद पार्ग्रम क्रेडेंशियल्स को बदल दे और lwd_uri_build_context.json फ़ाइल की जाँच करें कि क्या एकत्रित किया गया।