مارس فنانس کی خبر کے مطابق، 2 جون کو، سلو مسٹ نے ایک سیکیورٹی ایلرٹ جاری کیا جس میں @redhat-cloud-services سے متعلق سافٹ ویئر پیکیجز کو ہدف بنانے والے ایک فعال npm سپلائی چین حملے کا پتہ چلا۔ اب تک 31+ پیکیجز متاثر ہوچکے ہیں، جن کا ہفتہ وار ڈاؤن لوڈ تقریباً 116,000 ہے، اور 300 سے زائد GitHub ریپوزٹریز میں چوری شدہ اعتمادی تفصیلات موجود ہیں۔ یہ حملے کا طریقہ کار پہلے کے "Shai-Hulud" npm حملے کے بہت مشابہ ہے، جس میں اعتمادی تفصیلات چوری کرنا، خطرناک ریپوزٹریز بنانا اور رازداری کا غیر قانونی انداز میں افشا کرنا شامل ہے۔ اب بھی نئے مشکوک ریپوزٹریز ظاہر ہو رہے ہیں، جس سے پتہ چلتا ہے کہ حملہ جاری ہے اور ڈویلپرز کو لگاتار متاثر کیا جا رہا ہے۔ ممکنہ خطرات میں شامل ہیں: GitHub/npm ٹوکن کی چوری، AWS/GCP/Azure کلب کے اعتمادی تفصیلات کا افشا، SSH کلیدوں اور Kubernetes رازوں کا جمع کرنا، مقامی ماحول اور والٹ کے ڈیٹا کا افشا، خطرناک ریپوزٹریز بنانا اور مستقل عمل، اور حتیٰ کہ اگر ٹوکن منسوخ کر دیا جائے تو نقصان دہ سرگرمیاں بھی شروع ہو سکتی ہیں۔ تجویز کیا جاتا ہے کہ متاثرہ @redhat-cloud-services پیکیجز کے ورژن فوراً ہٹا دئیں یا ان کا ورژن نچلا کر دئیں، CI/CD ورک فلو اور انحصار نصب کرنے کا مکمل جائزہ لیں، تمام GitHub، npm، کلب سروسز، SSH اور والٹ سے متعلق کلیدوں کو بدل دیں، لاگ رکھیں، اور متاثرہ ڈویلپر ماشینز یا رنرز کو صاف امیج سے دوبارہ تعمیر کریں، اور انتہائی احتاط برقرار رکھیں۔
فعال npm سپلائی چین حملہ ریڈ ہیٹ کلب سروسز پیکجز کو ہدف بناتا ہے، زیادہ سے زیادہ 300 گٹھب ریپوز متاثر
MarsBitبانٹیں
خلاصہ
ایک فعال npm سپلائی چین بریچ میں جس کا مقصد @redhat-cloud-services پیکیجز ہیں، ایک ری اینٹرینسی حملہ دریافت کیا گیا ہے۔ 31 سے زائد پیکیجز متاثر ہیں، جن کے ہفتہ وار 116,000 ڈاؤن لوڈز ہیں۔ 300 سے زائد GitHub ریپوز میں چوری شدہ اعتمادی تفصیلات موجود ہیں۔ حملہ آور اون-چین ڈیٹا کا استعمال کرکے راز کی خفیہ شدہ اطلاعات کو آٹومیٹ کرتے ہیں اور مضر ریپوز بناتے ہیں۔ خطرات میں ٹوکن چوری، کلاؤڈ اعتمادی تفصیلات، اور SSH کلید کی نمائش شامل ہے۔ ڈویلپرز کو اپنے منحصر پیکیجز کا جائزہ لینا چاہئے، کلیدوں کو بدلنا چاہئے، اور متاثرہ سسٹمز کو دوبارہ تعمیر کرنا چاہئے۔ نئے مضر ریپوز جاری طور پر ظاہر ہو رہے ہیں، جس سے پتہ چلتا ہے کہ حملہ جاری ہے۔
ذریعہ:اصل دکھائیں۔
اعلان دستبرداری: اس صفحہ پر معلومات تیسرے فریق سے حاصل کی گئی ہوں گی اور یہ ضروری نہیں کہ KuCoin کے خیالات یا خیالات کی عکاسی کرے۔ یہ مواد کسی بھی قسم کی نمائندگی یا وارنٹی کے بغیر صرف عام معلوماتی مقاصد کے لیے فراہم کیا گیا ہے، اور نہ ہی اسے مالی یا سرمایہ کاری کے مشورے کے طور پر سمجھا جائے گا۔ KuCoin کسی غلطی یا کوتاہی کے لیے، یا اس معلومات کے استعمال کے نتیجے میں کسی بھی نتائج کے لیے ذمہ دار نہیں ہوگا۔
ڈیجیٹل اثاثوں میں سرمایہ کاری خطرناک ہو سکتی ہے۔ براہ کرم اپنے مالی حالات کی بنیاد پر کسی پروڈکٹ کے خطرات اور اپنے خطرے کی برداشت کا بغور جائزہ لیں۔ مزید معلومات کے لیے، براہ کرم ہماری استعمال کی شرائط اور خطرے کا انکشاف دیکھیں۔