কিছুদিন আগে ঘোষণা করা হয়েছিল যে, PyPI ডিরেক্টরিতে (পাইথন প্যাকেজ ইনডেক্স) ক্ষতিকারক কোডযুক্ত ১১টি প্যাকেজ শনাক্ত করা হয়েছে।
সমস্যাগুলো শনাক্ত হওয়ার আগে প্যাকেজগুলো মোট প্রায় ৩৮,০০০ বার ডাউনলোড করা হয়েছিল , এবং এটি উল্লেখযোগ্য যে, শনাক্ত হওয়া ক্ষতিকারক প্যাকেজগুলো আক্রমণকারীদের সার্ভারের সাথে যোগাযোগের পথ গোপন করার জন্য অত্যাধুনিক পদ্ধতি ব্যবহারের কারণে স্বতন্ত্র।
যে প্যাকেজগুলি আবিষ্কৃত হয়েছে তা হল:
- গুরুত্বপূর্ণ প্যাকেজ (6305 ডাউনলোড) ই গুরুত্বপূর্ণ প্যাকেজ (12897): এই প্যাকেজগুলি একটি বহিরাগত সার্ভারের সাথে একটি সংযোগ স্থাপন করুন pypi.python.org এর সাথে সংযোগ করার আড়ালে সিস্টেমে শেল অ্যাক্সেস প্রদান করতে (বিপরীত শেল) এবং যোগাযোগ চ্যানেল লুকানোর জন্য trevorc2 প্রোগ্রাম ব্যবহার করুন।
- pptest (10001) ই ipboards (946) তথ্য স্থানান্তর করার জন্য একটি যোগাযোগ চ্যানেল হিসাবে DNS ব্যবহার করা হয় সিস্টেম সম্পর্কে (প্রথম প্যাকেটে, হোস্টনেম, ওয়ার্কিং ডিরেক্টরি, অভ্যন্তরীণ এবং বাহ্যিক আইপি, দ্বিতীয়টিতে, ব্যবহারকারীর নাম এবং হোস্টনাম)।
- আউলমুন (২০১১), ডিসকর্ড সেফটি (557) এবং yiffparty (1859) - সিস্টেমে ডিসকর্ড পরিষেবা টোকেন সনাক্ত করুন এবং এটি একটি বহিরাগত হোস্টে পাঠান।
- trrfab (287): শনাক্তকারী, হোস্টনাম, এবং / etc / passwd, / etc / hosts, / হোমের বিষয়বস্তু একটি বহিরাগত হোস্টে পাঠায়।
- 10cent10 (490) - একটি বহিরাগত হোস্টের সাথে একটি বিপরীত শেল সংযোগ স্থাপন করেছে৷
yandex-yt (4183): আপস করা সিস্টেম সম্পর্কে একটি বার্তা দেখিয়েছে এবং nda.ya.ru (api.ya.cc) এর মাধ্যমে জারি করা অতিরিক্ত ক্রিয়া সম্পর্কে অতিরিক্ত তথ্য সহ একটি পৃষ্ঠায় পুনঃনির্দেশিত হয়েছে৷
অতএব, এটি উল্লেখ করা হয়েছে যে importantpackage এবং important-package প্যাকেটগুলিতে ব্যবহৃত বাহ্যিক হোস্ট অ্যাক্সেস করার পদ্ধতির প্রতি বিশেষ মনোযোগ দেওয়া উচিত , যেগুলি তাদের কার্যকলাপ গোপন করার জন্য PyPI ক্যাটালগে ব্যবহৃত Fastly কন্টেন্ট ডেলিভারি নেটওয়ার্ক ব্যবহার করে।
আসলে, অনুরোধগুলি pypi.python.org সার্ভারে পাঠানো হয়েছিল (HTTPS অনুরোধের মধ্যে SNI তে python.org-এর নাম উল্লেখ সহ), কিন্তু আক্রমণকারী দ্বারা নিয়ন্ত্রিত সার্ভারের নাম HTTP শিরোনামে সেট করা হয়েছিল "হোস্ট » তথ্য প্রেরণের সময় pypi.python.org-এ TLS সংযোগের পরামিতি ব্যবহার করে বিষয়বস্তু বিতরণ নেটওয়ার্ক আক্রমণকারীর সার্ভারে অনুরূপ অনুরোধ পাঠিয়েছে।
PyPI- এর পরিকাঠামো Fastly কন্টেন্ট ডেলিভারি নেটওয়ার্ক দ্বারা চালিত হয়, যা সাধারণ অনুরোধগুলো ক্যাশ করার জন্য Varnish-এর স্বচ্ছ প্রক্সি ব্যবহার করে এবং HTTPS অনুরোধগুলোকে প্রক্সির মাধ্যমে ফরোয়ার্ড করার জন্য এন্ডপয়েন্ট সার্ভারের পরিবর্তে CDN-স্তরের TLS সার্টিফিকেট প্রসেসিং প্রয়োগ করে। গন্তব্য হোস্ট নির্বিশেষে, অনুরোধগুলো প্রক্সিতে পাঠানো হয়, যা HTTP "Host" হেডারের মাধ্যমে কাঙ্ক্ষিত হোস্টকে শনাক্ত করে, এবং ডোমেইন হোস্টনেমগুলো সমস্ত Fastly ক্লায়েন্টে থাকা সাধারণ CDN লোড ব্যালেন্সার আইপি অ্যাড্রেসের সাথে সংযুক্ত থাকে।
আক্রমণকারীদের সার্ভারটি ফাস্টলি (Fastly) নামক সিডিএন-এর সাথেও নিবন্ধিত , যা বিনামূল্যে প্ল্যান অফার করে এবং এমনকি বেনামে নিবন্ধনেরও সুযোগ দেয়। উল্লেখ্য যে, যখন একটি "রিভার্স শেল" তৈরি করা হয়, তখন ভুক্তভোগীর কাছে অনুরোধ পাঠানোর জন্য একটি অনুরূপ কৌশল ব্যবহার করা হয়, কিন্তু সেটি আক্রমণকারীর হোস্ট দ্বারা শুরু করা হয়। বাইরে থেকে, আক্রমণকারীর সার্ভারের সাথে মিথস্ক্রিয়াকে পাইপিআই (PyPI) ডিরেক্টরির সাথে একটি বৈধ সেশন বলে মনে হয়, যা পাইপিআই টিএলএস (PyPI TLS) সার্টিফিকেট দিয়ে এনক্রিপ্ট করা থাকে। "ডোমেইন ফ্রন্টিং" নামে পরিচিত একটি অনুরূপ কৌশল পূর্বে ব্লক বাইপাস করে হোস্টনেম সক্রিয়ভাবে গোপন করার জন্য ব্যবহৃত হয়েছিল। এর জন্য কিছু সিডিএন দ্বারা প্রদত্ত HTTPS অপশন ব্যবহার করা হতো, এসএনআই (SNI)-তে ডামি হোস্ট নির্দিষ্ট করা হতো এবং একটি টিএলএস (TLS) সেশনের মধ্যে এইচটিটিপি (HTTP) হোস্ট হেডারে অনুরোধ করা হোস্টনেমটি পাস করা হতো।
দূষিত কার্যকলাপ লুকানোর জন্য, TrevorC2 প্যাকেজ অতিরিক্ত ব্যবহার করা হয়েছিল, যা সার্ভারের সাথে মিথস্ক্রিয়াকে সাধারণ ওয়েব ব্রাউজিংয়ের মতো করে তোলে।
pptest এবং ipboards প্যাকেটগুলি DNS সার্ভারের অনুরোধে দরকারী তথ্য এনকোডিংয়ের উপর ভিত্তি করে নেটওয়ার্ক কার্যকলাপ লুকানোর জন্য একটি ভিন্ন পদ্ধতি ব্যবহার করে। ক্ষতিকারক সফ্টওয়্যার ডিএনএস প্রশ্নগুলি সম্পাদন করে তথ্য প্রেরণ করে, যেখানে কমান্ড এবং নিয়ন্ত্রণ সার্ভারে প্রেরণ করা ডেটা সাবডোমেন নামের বেস64 ফর্ম্যাট ব্যবহার করে এনকোড করা হয়। একজন আক্রমণকারী ডোমেনের DNS সার্ভার নিয়ন্ত্রণ করে এই বার্তাগুলি গ্রহণ করে।
অবশেষে, আপনি যদি আরও জানতে আগ্রহী হন, তাহলে নিচের লিঙ্কে বিস্তারিত তথ্য পেয়ে যাবেন ।