उत्तर कोरियाई हैकर्स ने Axios को एक सप्लाई चेन अटैक में हाईजैक कर लिया, जिसे तैयार करने में हफ्तों लग गए
एक व्यापक रूप से उपयोग किया जाने वाला प्रोजेक्ट साइबरअटैक वेक्टर में बदल गया
एक उत्तर कोरियाई साइबर ऑपरेशन ने 31 मार्च को Axios, जो वेब के सबसे व्यापक रूप से उपयोग किए जाने वाले ओपन-सोर्स प्रोजेक्ट्स में से एक है, को संक्षेप में हाईजैक कर लिया। ऐसा लगता है कि इस हमले को तैयार करने में हफ्तों लगे थे। यह समझौता इस बात पर जोर देता है कि कैसे राज्य-समर्थित हैकर्स तेजी से विश्वसनीय सॉफ्टवेयर इंफ्रास्ट्रक्चर को निशाना बना रहे हैं, जहां एक भी उल्लंघन हजारों सिस्टम्स में फैल सकता है।
Axios एक लोकप्रिय JavaScript लाइब्रेरी है जिसका उपयोग डेवलपर्स द्वारा एप्लीकेशन्स को इंटरनेट से जोड़ने के लिए किया जाता है। क्योंकि यह कई सॉफ्टवेयर बिल्ड्स के अंदर मौजूद होता है, इसलिए प्रोजेक्ट का समझौता प्रोजेक्ट से कहीं अधिक दूरगामी परिणाम दे सकता है। इस मामले में, दुर्भावनापूर्ण अपडेट्स हटाए जाने से पहले केवल लगभग तीन घंटे के लिए लाइव थे, लेकिन वह अवधि अभी भी हजारों सिस्टम्स को संक्रमित करने के लिए पर्याप्त हो सकती थी।
इस हमले को जेसन सायमन द्वारा एक पोस्ट-मॉर्टम में प्रलेखित किया गया था, जो प्रोजेक्ट को बनाए रखते हैं और उन्होंने समझौते की समय-सीमा बताई। सायमन के अनुसार, हमलावरों ने उनके कंप्यूटर पर नियंत्रण हासिल करने और दुर्भावनापूर्ण कोड प्रकाशित करने से लगभग दो सप्ताह पहले उन्हें निशाना बनाना शुरू कर दिया था।
विश्वास पर आधारित एक लंबा धोखा
यह ऑपरेशन brute force पर कम और धैर्य पर अधिक निर्भर था। सायमन ने कहा कि हमलावरों ने एक वास्तविक कंपनी के रूप में प्रस्तुत किया, एक विश्वसनीय Slack वर्कस्पेस बनाया, और इसे नकली कर्मचारी प्रोफाइल से भर दिया ताकि यह चाल वैध लगे। फिर उन्होंने उसे एक वेब मीटिंग में आमंत्रित किया जिसने उसे कॉल में शामिल होने के लिए आवश्यक अपडेट के रूप में प्रच्छन्न malware डाउनलोड करने के लिए प्रेरित किया।
सायमन ने कहा कि यह प्रलोभन पहले उत्तर कोरियाई हैकर्स से जुड़ी एक तकनीक से मेल खाता था और Google सुरक्षा शोधकर्ताओं द्वारा इसकी पहचान की गई थी: एक सोशल-इंजीनियरिंग दृष्टिकोण जो लक्ष्यों को ऐसा सॉफ्टवेयर स्थापित करने के लिए मनाता है जो हमलावरों को remote access देता है। इस मामले में, वह एक्सेस दुर्भावनापूर्ण Axios रिलीज़ को आगे बढ़ाने की कुंजी प्रतीत होता है।
यह घटना दर्शाती है कि क्यों ओपन-सोर्स मेंटेनर्स इतने उच्च-मूल्य वाले लक्ष्य बन गए हैं। लोकप्रिय प्रोजेक्ट्स को अक्सर छोटी टीमों या यहां तक कि एक ही डेवलपर द्वारा बनाए रखा जाता है, फिर भी उन्हें अनगिनत एप्लीकेशन्स और सेवाओं में एम्बेड किया जा सकता है। यह मेंटेनर्स के व्यक्तिगत उपकरणों को बड़े पैमाने पर सॉफ्टवेयर से समझौता करने वाले हमलावरों के लिए एक आकर्षक प्रवेश बिंदु बनाता है।
जोखिम एक प्रोजेक्ट से कहीं आगे तक फैला हुआ है
Doppler VPN से अपनी प्राइवेसी सुरक्षित करें
3 दिन का मुफ़्त ट्रायल। बिना रजिस्ट्रेशन। बिना लॉग।
दुर्भावनापूर्ण Axios पैकेजेस को जल्दी से हटा दिया गया था, लेकिन इससे पहले कि वे फैलने का मौका पाते। किसी भी सिस्टम जिसने संक्षिप्त एक्सपोजर विंडो के दौरान समझौता किए गए संस्करणों में से एक को स्थापित किया था, वह उस मशीन पर संग्रहीत private keys, credentials और passwords की चोरी के प्रति संवेदनशील हो सकता था। उन चोरी हुए रहस्यों का उपयोग तब अन्य सिस्टम्स और सेवाओं में गहराई तक जाने के लिए किया जा सकता है, जिससे एक सॉफ्टवेयर सप्लाई चेन घटना एक व्यापक उल्लंघन में बदल जाती है।
यह संभावना ही इस तरह के हमले को इतना चिंताजनक बनाती है। तत्काल शिकार एक डेवलपर का लैपटॉप या एक सिंगल पैकेज रिपॉजिटरी हो सकता है, लेकिन अंतिम लक्ष्य कहीं अधिक व्यापक हो सकता है: वे उपयोगकर्ता और संगठन जो प्रोजेक्ट को अपने स्वयं के सॉफ्टवेयर स्टैक के हिस्से के रूप में भरोसा करते हैं।
Axios घटना एक व्यापक पैटर्न में भी फिट बैठती है। उत्तर कोरियाई हैकर्स इंटरनेट पर सबसे सक्रिय साइबर खतरों में से एक बने हुए हैं, और उन्हें बार-बार ऐसे ऑपरेशंस से जोड़ा गया है जो सोशल इंजीनियरिंग, credential theft और remote-access malware को जोड़ते हैं। उनके अभियान अक्सर जासूसी और आर्थिक रूप से प्रेरित अपराध के बीच की रेखा को धुंधला करते हैं, जिसमें cryptocurrency चोरी अक्सर मिश्रण का हिस्सा होती है।
एक परिचित प्लेबुक, एक बड़ी चेतावनी
जो इस नवीनतम समझौते को अलग बनाता है, वह सिर्फ लक्ष्य नहीं है, बल्कि वह व्यवस्थित तरीका है जिससे यह सामने आया। हमलावरों ने प्रोजेक्ट के कोड में केवल एक तकनीकी खामी का फायदा नहीं उठाया। उन्होंने एक विश्वसनीय पहचान बनाने, मेंटेनर का विश्वास हासिल करने और अंततः आधिकारिक अपडेट प्रकाशित करने के लिए उपयोग की जाने वाली मशीन तक पहुंच प्राप्त करने में समय लगाया।
यह दृष्टिकोण ओपन-सोर्स इकोसिस्टम्स के लिए एक कठिन वास्तविकता को उजागर करता है: व्यापक रूप से उपयोग किए जाने वाले सॉफ्टवेयर की सुरक्षा न केवल कोड रिव्यू और पैकेज मॉनिटरिंग पर निर्भर करती है, बल्कि कोड को बनाए रखने वाले लोगों की व्यक्तिगत सुरक्षा पर भी निर्भर करती है। जैसे-जैसे राज्य-प्रायोजित हैकर्स और आपराधिक समूह उन मेंटेनर्स को निशाना बनाना जारी रखते हैं, सप्लाई चेन खुद साइबर संघर्ष में एक अग्रिम पंक्ति बन जाती है।
सायमन ने घटना के बारे में अनुवर्ती प्रश्नों का तुरंत जवाब नहीं दिया। समझौते का पूरा दायरा अभी भी मूल्यांकन किया जा रहा है, लेकिन सबक पहले से ही स्पष्ट है: जब विश्वसनीय सॉफ्टवेयर को हाईजैक किया जाता है, तो प्रभाव का दायरा उस प्रोजेक्ट से कहीं आगे तक फैल सकता है जिसका उल्लंघन किया गया था।
स्रोत: