پلتفرم کدنویسی مایکروسافت دارای پکیج‌های آلوده‌ای بوده است.
به گزارش گروه ترجمه گرداب، محققان امنیتی موسسه JFrog در گزارش خود اعلام کرده‌اند که حمله‌ای به زنجیره تامین در مقیاس وسیع شناسایی کرده‌اند که توسعه‌دهندگان آژور را هدف قرار داده است.
آژور یک سرویس پردازشگری ابری است که توسط مایکروسافت اداره می‌شود. توسعه‌دهندگان این برنامه به نوشتن کد برای فضای ابری آژور می‌پردازند و اغلب از NPM یا رجیستری عمومی نرم‌افزار استفاده می‌کنند.
محققان JFrog متوجه هشدار‌های خودکاری شده‌اند که بر روی مجموعه‌ای از پکیج‌های بر روی رجیستری ΝPM رخ داده است. بررسی دستی این پکیج‌ها نشان از افزایش چشمگیر بسته‌های آلوده‌شده در این رجیستری دارد. در این گزارش آمده است:
«پس از بررسی دستی تعدادی از این بسته‌های کدنویسی، برای ما آشکار شد که این یک حمله هدفمند از سوی هکری علیه ΝPM آژور است که او از یک اسکریپت خودکار برای ساخت حساب‌ها و بارگذاری پکیج‌های آلوده استفاده کرده است تا سراسر این رجیستری را آلوده سازد».
محققان این گزارش همچنین اشاره کرده‌اند که به‌طور متوسط هرکدام از پکیج‌های آلوده حدود ۵۰ بار دانلود شده است. در مجموع حداقل ۲۱۸ پکیج آلوده‌شده شناسایی شده است.
به گفته‌های محققان این یک حمله typosquatting یا جعل تایپی است که در طی آن هکر‌ها بسته‌های آلوده را با اسم یکسانی با پکیج اصلی منتشر می‌کنند. پکیج‌های رسمی آژور پیشوند خود آژور را نیز دارد، اما ین بسته‌های آلوده بدون این پیشوند فهرست شده‌اند. در این گزارش آمده است:
«مجرم بر این مسئله متکی بوده است که بعضی از توسعه‌دهندگان هنگام نصب پکیج ممکن است به اشتباه متوجه نبودن پیشوند @azure نشوند».
همچنین هکر‌ها تلاش کرده‌اند تا برنامه‌نویسان متوجه اصل نبودن این پکیج‌ها نشوند و تمام آن‌ها اعداد جدیدترین نسخه را داشته است تا توسعه‌دهندگان فریب بخورند و آن‌ها را به عنوان پکیج‌های اصلی تصور کنند.
بررسی عملکرد این بسته‌های مجرمانه نشان می‌دهد که هدف هکر‌ها جمع‌آوری اطلاعاتی، چون نام‌کاربری، آدرس منزل، آدرس محل کار، آدرس آی‌پی و سایر اطلاعات دیگر بوده است. محققان به مسئولان آژور توصیه کرده اند که برای حفاظت از چنین حملاتی استفاده از کپچا را در این سایت الزامی کنند.
متاسفانه باید گفت دنیای امنیت سایبری روزبه‌روز با خطرات پیچیده‌تری روبرو می‌شود. حال دیگر تنها از منبع معتبر استفاده کردن کافی نیست، بلکه حتی موقع استفاده از منبع معتبر نیز باید با دقت بسیار عمل کرد.
منبع: jfrog
