ونچر بیٹ کی رپورٹ کے مطابق، حملہ آوروں نے جاوا اسکرپٹ کے سب سے زیادہ استعمال ہونے والے HTTP کلائنٹ لائبریری Axios کے اہم مینٹینر کا npm ایکسیس ٹوکن چوری کیا اور اس ٹوکن کا استعمال کرتے ہوئے دو بریک ٹھیک مالویئر ورژن (axios@1.14.1 اور axios@0.30.4) جاری کیے جن میں کراس پلیٹ فارم ریموٹ ایکسس ٹروجن (RAT) شامل تھا، جس کا مقصد macOS، Windows اور Linux سسٹمز تھا۔ یہ مالویئر پیکیجز npm رجسٹری پر تقریباً 3 گھنٹے تک موجود رہے اور پھر ہٹا دیے گئے۔ سیکورٹی کمپنی Wiz کے ڈیٹا کے مطابق، Axios کا ہفتہ وار ڈاؤن لوڈ 1 ارب سے زائد ہے اور یہ تقریباً 80 فیصد کلاؤڈ اور کوڈ ماحول میں موجود ہے۔ سیکورٹی کمپنی Huntress نے مالویئر پیکیجز کے شروع ہونے کے صرف 89 سیکنڈ بعد پہلے انفیکشنز کو ڈیٹیکٹ کر لیا اور اس خطرے کے دوران کم از کم 135 سسٹمز کو انفیکٹ ہونے کی تصدیق کی۔ قابل ذکر بات یہ ہے کہ Axios پراجیکٹ پہلے ہی OIDC قابل اعتماد جاری کرنے کے نظام اور SLSA سرچشل پرووف جیسے جدید سیکورٹی اقدامات لاگو کر چکا تھا، لیکن حملہ آوروں نے ان تمام دفاعی لائنوں کو بالکل بائی پاس کر دیا۔ تحقیق میں پایا گیا کہ پراجیکٹ نے OIDC کو ساتھ ہی قدیم، لمبے عرصے تک درست NPM_TOKEN بھی برقرار رکھا تھا، اور npm جب دونوں موجود ہوتے ہیں تو ڈیفالٹ طور پر قدیم ٹوکن کو ترجیح دیتا ہے، جس سے حملہ آور OIDC کو توڑنے کے بغیر ہی جاری کر سکتے ہیں۔
ایکسیوس لائبریری پر سپلائی چین حملہ، ملیشیس پیکیجز نے 135 سسٹمز کو انفیکٹ کیا
TechFlowبانٹیں
خلاصہ
آن-چین خبروں کے مطابق، حملہ آوروں نے Axios npm ٹوکن کو متاثر کیا، جس کے نتیجے میں خطرناک axios@1.14.1 اور axios@0.30.4 کو پبلش کیا گیا، جن میں کراس پلیٹ فارم RATs شامل تھے۔ ہٹانے سے پہلے یہ پیکیجز 89 سیکنڈ میں 135 سسٹمز کو متاثر کر چکے تھے۔ Axios کلاؤڈ ماحولوں میں 80 فیصد استعمال ہوتا ہے، جس کے 100 ملین سے زائد ہفتہ وار ڈاؤن لوڈز ہوتے ہیں۔ حملہ آوروں نے لمبے عرصے تک چلنے والے NPM_TOKEN کا استعمال کرتے ہوئے OIDC اور SLSA کو بائی پاس کیا۔ نئے ٹوکن لسٹنگس ڈویلپرز اور سیکورٹی ٹیموں کے لیے اب بھی ایک اہم توجہ کا مرکز ہیں۔
ذریعہ:اصل دکھائیں۔
اعلان دستبرداری: اس صفحہ پر معلومات تیسرے فریق سے حاصل کی گئی ہوں گی اور یہ ضروری نہیں کہ KuCoin کے خیالات یا خیالات کی عکاسی کرے۔ یہ مواد کسی بھی قسم کی نمائندگی یا وارنٹی کے بغیر صرف عام معلوماتی مقاصد کے لیے فراہم کیا گیا ہے، اور نہ ہی اسے مالی یا سرمایہ کاری کے مشورے کے طور پر سمجھا جائے گا۔ KuCoin کسی غلطی یا کوتاہی کے لیے، یا اس معلومات کے استعمال کے نتیجے میں کسی بھی نتائج کے لیے ذمہ دار نہیں ہوگا۔
ڈیجیٹل اثاثوں میں سرمایہ کاری خطرناک ہو سکتی ہے۔ براہ کرم اپنے مالی حالات کی بنیاد پر کسی پروڈکٹ کے خطرات اور اپنے خطرے کی برداشت کا بغور جائزہ لیں۔ مزید معلومات کے لیے، براہ کرم ہماری استعمال کی شرائط اور خطرے کا انکشاف دیکھیں۔