شرارتی پول ریکسٹس ویزور اور زنگو والٹس کو ہدف بناتے ہیں

ایک نئی بنائی گئی گٹھبب اکاؤنٹ نے 9 نومبر کی رات اور 10 نومبر کی صبح ET کے دوران چین ایپسس کے وائزور والٹ اور زنگو لیبس کے زکاش والٹ سافٹ ویئر میں اکاؤنٹ کی تفصیلات چوری کرنے والے کوڈ کو شامل کرنے کی کوشش کی۔

GitHub ریکارڈز دکھاتے ہیں کہ چار Vizor درخواستیں مرج نہیں ہوئیں، جبکہ zingo-common اور zingolib میں درخواستیں ٹیویز صبح تک کھلی اور مرج نہیں ہوئیں۔ یہ تصدیق نہیں ہو سکی کہ کیا کوئی مینٹینر نے مضر وابستگی تیار کی یا اعتماد کی تفصیلات کو خارج کیا۔

خطر ایک ادغام پر منحصر نہیں ہے۔ رسٹ پیکیج، یا کریٹ، lwd-uri-util اپنا اہلیت کلیکٹر build.rs میں رکھتا ہے، جو Cargo پیکیج کو بنانے سے پہلے چلتا ہے۔ یہ cargo check یا ایڈیٹر کے rust-analyzer تجزیہ کے دوران بھی اجراء ہو سکتا ہے: آخری میں بنائی سکرپٹس ڈیفالٹ طور پر سرگرم ہوتی ہیں۔ اس لیے ایک ڈویلپر جو ایک غیر ادغام شدہ برانچ کا جائزہ لے رہا ہو، وہ مقامی طور پر کلیکٹر کو فعال کر سکتا ہے۔

OpenSourceMalware تحقیقی ٹیم نے اس مہم کو دستاویز کیا۔ GitHub کا مشورتی ڈیٹا بیس کریٹ کے ورژن 0.1.0 سے لے کر 0.1.7 تک کو میلویئر کے طور پر درج کرتا ہے، جس کا کوئی پچ شدہ ورژن نہیں ہے۔

اکاؤنٹ، sapho11، اس کی پہلی درخواست سے تقریباً آدھا گھنٹہ پہلے بنایا گیا تھا۔ اس کا ابتدائی ونڈوز ریلیز پیشکش سائن کرنے میں ناکامی کے تشخیصی ٹولز شامل کرنے کا دعویٰ کرتی تھی، لیکن اصل تبدیلی نے سائن سے متعلق ماحولیاتی متغیر، جٹ کریڈنشلز، ایس ایچ ایس نجی کلیدیں اور دیگر فائلیں ایک باہری سرور پر اپ لوڈ کرنے میں شامل کر دیں۔

ایک Codex خودکار جائزہ نے پرائیویٹ اپڈیٹ-سائننگ کلید اپ لوڈ کو نشان زد کیا اور چेतاؤ دیا کہ یہ جعلی اپڈیٹ فیڈز کو سکون دے سکتا ہے۔ مصنف نے بعد میں اس پیشکش کو بند کرنے سے پہلے کریڈنشل کلیکشن کو ختم کر دیا۔

پھر اکاؤنٹ نے AGENTS.md میں تبدیلیاں پیش کیں، جو AI کوڈنگ ایجنس کے لیے ایک پروجیکٹ ہدایات کا فائل ہے۔ پیش کی گئی متن نے سائننگ-واirable ویلوز کے کلیکشن کو "意圖性和預期" کے طور پر بیان کیا اور آٹومیٹڈ اور انسانی جانچ کرنے والوں کو اس کے دعوائی طریقہ کار کے مطابق اپ لوڈ کو کریڈنشل لیکیج کے طور پر نہیں نشان زد کرنے کو کہا۔ ویزور کا عوامی PR تھریڈ تصدیق کرتا ہے کہ کوڈیکس کو پل ریکسٹس کا جائزہ لینے کے لیے آٹومیٹک طور پر سیٹ کیا گیا تھا۔

بعد میں Vizor پیشکش اور دو Zingo درخواستوں نے والٹ-سرور ایڈریسز کو نارملائز کرنے کے لیے lwd-uri-util کو ایک مددگار کے طور پر متعارف کرایا۔ OpenSourceMalware نے پایا کہ Zingo تبدیلیوں میں ونڈوز کے طرز کے CRLF لائن ختم کرنے والے علامات استعمال کیے گئے تھے، جس سے چھوٹی انحصار اضافات پوری فائل کے دوبارہ لکھنے کے طور پر ظاہر ہو رہے تھے۔

ورژن 0.1.7 سورس میں، بِلڈ اسکرپٹ ماحولیاتی متغیرات اور دستیاب Git، GitHub CLI، AWS، Cargo اور npm کریڈنشل فائلز کو پڑھتا ہے۔ یہ Keplr MCP اینکرپٹڈ والٹ فائلز بھی تلاش کرتا ہے اور منتخب macOS Keychain سیکرٹس حاصل کرنے کی کوشش کرتا ہے، پھر جمع کردہ ڈیٹا کو ایک JSON فائل میں لکھتا ہے اور اسے webhook.site پر POST کرنے کی کوشش کرتا ہے۔

اس اسکرپٹ میں اسکینر جیسے ماحول میں اپ لوڈز کو روک دیا جاتا ہے، لیکن کلیکشن اور مقامی فائل کا تخلیق اس چیک سے پہلے ہو جاتا ہے۔ اس کا "کوئی میٹرکس نہیں" سیٹنگ صرف اپ لوڈ کو ہی روکتی ہے۔

crates.io رجسٹری انڈیکس نے ابھی تک ٹیوزڈاکر کی صبح ET تک تمام آٹھ ورژنز کو نہیں ہٹایا گیا تھا، اور گٹھبب اکاؤنٹ عام طور پر قابل رسائی رہا۔ OpenSourceMalware نے کسی بھی شخص کو تجویز کیا کہ جو براں بنایا ہے، وہ اپنے کریڈنشلز کو بدل دے اور تخلیق کردہ lwd_uri_build_context.json فائل کو چیک کرے تاکہ معلوم ہو کہ کیا جمع کیا گیا۔