सॉफ्टवेयर डेवलपर्स को निशाना बनाने वाले एक नए सप्लाई-चेन साइबर हमले का खुलासा हुआ है। साइबर सुरक्षा कंपनी Socket के अनुसार, Node Package Manager (npm) और Python Package Index (PyPI) पर Paysafe, Skrill और Neteller के नाम से प्रकाशित 17 फर्जी SDK (Software Development Kit) पैकेज पाए गए हैं, जिनका उद्देश्य डेवलपर्स के सिस्टम से संवेदनशील क्रेडेंशियल और एक्सेस टोकन चोरी करना है।
शोधकर्ताओं के मुताबिक, हमलावरों ने एक साथ 13 मालिशियस npm पैकेज और 4 PyPI पैकेज प्रकाशित किए। ये पैकेज देखने में आधिकारिक भुगतान SDK जैसे प्रतीत होते हैं और अपेक्षित API भी उपलब्ध कराते हैं, लेकिन वास्तविक भुगतान सेवाओं से कनेक्ट होने के बजाय नकली सफलता (Fake Success Response) लौटाते हैं। इसी दौरान ये बैकग्राउंड में उपयोगकर्ता के सिस्टम से संवेदनशील जानकारी चुराकर Amazon Web Services (AWS) पर होस्ट किए गए कमांड-एंड-कंट्रोल (C2) सर्वर पर भेज देते हैं।
शोधकर्ताओं ने बताया कि प्रभावित पैकेजों में paysafe-checkout, paysafe-vault, paysafe-api, paysafe-node, paysafe-payments, paysafe-sdk, paysafe-kyc, skrill, skrill-sdk, skrill-payments और neteller जैसे नाम शामिल हैं। npm पर इन पैकेजों के चार मालिशियस संस्करण (1.0.0 से 1.0.3) प्रकाशित किए गए, जबकि PyPI पर प्रत्येक पैकेज का एक मालिशियस संस्करण (1.0.0) उपलब्ध कराया गया।
विश्लेषण में सामने आया कि ये पैकेज सिस्टम से Paysafe API Keys, AWS Access Keys, GitHub Tokens, npm Tokens, पासवर्ड, होस्टनेम, यूजरनेम और API उपयोग से संबंधित मेटाडेटा जैसी महत्वपूर्ण जानकारी खोजकर हमलावरों तक पहुंचाते हैं।
Socket के अनुसार, npm संस्करणों में डेटा चोरी की प्रक्रिया तभी सक्रिय होती है जब सिस्टम में Paysafe API Key मौजूद हो और फर्जी SDK को कॉल किया जाए। इसके विपरीत PyPI संस्करण इंस्टॉल या इनिशियलाइज़ होते ही स्वतः सक्रिय हो जाते हैं और API Key की मौजूदगी भी आवश्यक नहीं होती।
शोधकर्ताओं ने यह भी पाया कि मालवेयर में कुछ बुनियादी Anti-Analysis तकनीकें शामिल हैं। यदि सिस्टम में दो से कम CPU कोर हों या होस्टनेम अथवा यूजरनेम से यह संकेत मिले कि कोड किसी वर्चुअल मशीन या विश्लेषण वातावरण में चल रहा है, तो मालवेयर स्वयं को निष्क्रिय कर देता है ताकि सुरक्षा शोधकर्ताओं द्वारा इसका विश्लेषण कठिन हो सके।
हालांकि इस अभियान के पीछे किस साइबर समूह का हाथ है, इसकी पुष्टि नहीं हो सकी है, लेकिन शोधकर्ताओं का मानना है कि हमलावर तकनीकी रूप से सक्षम हैं और भविष्य में अधिक संगठित तरीके से ऐसे हमले दोहरा सकते हैं। विशेष चिंता की बात यह है कि हमलावर एक साथ npm और PyPI जैसे अलग-अलग सॉफ्टवेयर इकोसिस्टम को निशाना बना रहे हैं, जिससे ऐसे हमलों का पता लगाना और रोकना अधिक चुनौतीपूर्ण हो सकता है।
Algoritha Security के एक शोधकर्ता ने कहा कि ओपन-सोर्स पैकेज पर अत्यधिक निर्भरता आधुनिक सॉफ्टवेयर विकास की सबसे बड़ी ताकत होने के साथ-साथ सबसे बड़ा जोखिम भी बनती जा रही है। डेवलपर्स को किसी भी थर्ड-पार्टी पैकेज को अपनाने से पहले उसके प्रकाशक, डाउनलोड इतिहास, डिजिटल हस्ताक्षर और समुदाय की विश्वसनीयता की जांच अवश्य करनी चाहिए। साथ ही संगठनों को Software Composition Analysis (SCA), Dependency Scanning और Registry Monitoring जैसी सुरक्षा प्रक्रियाओं को विकास चक्र का अनिवार्य हिस्सा बनाना चाहिए।
Socket ने सलाह दी है कि यदि किसी सिस्टम पर इनमें से कोई भी पैकेज इंस्टॉल या उपयोग किया गया है तो सभी API Keys, Access Tokens, Passwords और अन्य Secrets को तुरंत बदल दिया जाए। इसके अलावा प्रोजेक्ट की Dependency Tree की जांच, CI/CD लॉग की समीक्षा तथा संगठन के Registry Proxy स्तर पर इन पैकेजों को ब्लॉक करने की भी सिफारिश की गई है। डेवलपर्स को विशेष रूप से CI सिस्टम के लॉग में PAYSAFE_API_KEY और इन संदिग्ध पैकेजों के नामों की तलाश करने की सलाह दी गई है, ताकि किसी संभावित डेटा चोरी का समय रहते पता लगाया जा सके।
