HTTP അഭ്യർത്ഥനകൾ നടപ്പിലാക്കുന്നതിനായി നിരവധി JavaScript പ്രോജക്റ്റുകളിൽ ഉപയോഗിക്കുന്ന ജനപ്രിയ Axios ലൈബ്രറി, NPM രജിസ്ട്രിയിൽ പ്രസിദ്ധീകരിച്ച രണ്ട് പ്രത്യേക പതിപ്പുകൾ അപഹരിച്ച ഒരു സപ്ലൈ ചെയിൻ ആക്രമണം രേഖപ്പെടുത്തി. StepSecurity-ൽ നിന്നുള്ള Investigadores, 2026 മാർച്ച് 31-ന് പുലർച്ചെ പ്രസിദ്ധീകരിച്ച പതിപ്പുകൾ 1.14.1, 0.30.4 എന്നിവ ക്ഷുദ്രകരമാണെന്ന് തിരിച്ചറിഞ്ഞു. ഡെവലപ്പർ മെഷീനുകളിൽ വിദൂര ആക്സസ് ട്രോജൻ ഇൻസ്റ്റാൾ ചെയ്യാൻ കഴിയുന്ന ഒരു ഇൻസ്റ്റാളേഷൻ സ്ക്രിപ്റ്റ് പ്രവർത്തിപ്പിക്കുന്ന ഒരു വ്യാജ ഡിപൻഡൻസിയാണ് പാക്കേജുകൾ കുത്തിവച്ചത്.
100 ദശലക്ഷത്തിലധികം പ്രതിവാര ഡൗൺലോഡുകളുള്ള പ്ലാറ്റ്ഫോമിൽ ഏറ്റവുമധികം ഡൗൺലോഡ് ചെയ്യപ്പെടുന്ന ലൈബ്രറിയെ ആശ്രയിക്കുന്ന വിശാലമായ വികസന ആവാസവ്യവസ്ഥയെ ഈ സംഭവം തുറന്നുകാട്ടി. ആക്രമണകാരികൾ Axios-ൻ്റെ കോർ കോഡ് മാറ്റിയില്ല, എന്നാൽ plain-crypto-js@4.2.1 എന്ന മറഞ്ഞിരിക്കുന്ന ഡിപൻഡൻസി ചേർത്തു. Windows, macOS, Linux എന്നിവയ്ക്കായുള്ള നിർദ്ദിഷ്ട പേലോഡുകൾ ഇൻസ്റ്റാൾ ചെയ്ത് npm ഇൻസ്റ്റാളുചെയ്യുമ്പോൾ Essa ആശ്രിതത്വം സ്വയമേവ സജീവമാകുന്നു.
മെയിൻ്റനൻസ് അക്കൗണ്ട് എങ്ങനെ അപഹരിക്കപ്പെട്ടു
ആക്രമണത്തിന് ഉത്തരവാദികളായവർക്ക് പ്രോജക്റ്റിൻ്റെ പ്രധാന അറ്റകുറ്റപ്പണിക്കാരനായ ജാസൺസായ്മാൻ എന്നയാളുടെ NPM അക്കൗണ്ടിലേക്ക് പ്രവേശനം ലഭിച്ചു. Eles എന്നതിലേക്ക് ബന്ധപ്പെട്ട ഇമെയിൽ വിലാസം മാറ്റിifstap@proton.meGitHub-ലെ റിപ്പോസിറ്ററിയുടെ ഓട്ടോമേറ്റഡ് തുടർച്ചയായ സംയോജന പ്രവാഹങ്ങളെ മറികടന്ന് വിട്ടുവീഴ്ച ചെയ്ത പതിപ്പുകൾ സ്വമേധയാ പ്രസിദ്ധീകരിക്കുകയും ചെയ്തു. ആദ്യത്തെ ക്ഷുദ്ര പതിപ്പ്, axios@1.14.1, ഏകദേശം 00:21 UTC-ന് പുറത്തിറങ്ങി, തുടർന്ന് ഏകദേശം 39 മിനിറ്റിന് ശേഷം axios@0.30.4.
സിഗ്നേച്ചർ ചെക്കുകളോ സാധാരണ CI/CD പ്രക്രിയകളോ ട്രിഗർ ചെയ്യാതെ പാക്കേജുകൾ ലഭ്യമാക്കാൻ ഈ സമീപനം അനുവദിച്ചു. Axios മെയിൻ്റനർമാർ കണ്ടെത്തിയതിനെത്തുടർന്ന് വേഗത്തിൽ പ്രതികരിക്കുകയും, NPM രണ്ട് പതിപ്പുകളും മണിക്കൂറുകൾക്കുള്ളിൽ നീക്കം ചെയ്യുകയും, എക്സ്പോഷർ സമയം ഏകദേശം രണ്ടോ മൂന്നോ മണിക്കൂറായി പരിമിതപ്പെടുത്തുകയും ചെയ്തു.
https://twitter.com/TheHackersNews/status/2038862039482093999?ref_src=twsrc%5Etfwകുത്തിവച്ച മാൽവെയറിൻ്റെ സാങ്കേതിക വിശദാംശങ്ങൾ
തെറ്റായ ഡിപൻഡൻസി plain-crypto-js@4.2.1 യഥാർത്ഥ Axios കോഡിലെ ഒരു ഘട്ടത്തിലും ഇറക്കുമതി ചെയ്തിട്ടില്ല, ഇത് പോസ്റ്റ്ഇൻസ്റ്റാൾ സ്ക്രിപ്റ്റ് എക്സിക്യൂട്ട് ചെയ്യാൻ മാത്രമായി പ്രവർത്തിക്കുന്നു. സ്ക്രിപ്റ്റ് ഒരു റിമോട്ട് ആക്സസ് ട്രോജൻ ഡ്രോപ്പറായി പ്രവർത്തിച്ചു, ഓരോ ഓപ്പറേറ്റിംഗ് സിസ്റ്റത്തിനും അനുയോജ്യമായ അധിക പേലോഡുകൾ ഡൗൺലോഡ് ചെയ്യുന്നതിന് ഒരു കമാൻഡ് ആൻഡ് കൺട്രോൾ സെർവറുമായി ബന്ധം സ്ഥാപിക്കുന്നു.
റൺ ടൈമിൽ കമാൻഡുകൾ ഡീകോഡ് ചെയ്യുന്നതിലൂടെ, ഉടനടി വിശകലനം ബുദ്ധിമുട്ടാക്കാൻ അവ്യക്തത ടെക്നിക്കുകൾ ഉപയോഗിച്ചു. Após വിജയകരമായി ഇൻസ്റ്റാൾ ചെയ്തു, node_modules ഫോൾഡറിൻ്റെ പിന്നീടുള്ള പരിശോധനകളിൽ കണ്ടെത്തുന്നത് ഒഴിവാക്കാൻ, ക്ഷുദ്രവെയർ അതിൻ്റെ സ്വന്തം ട്രെയ്സ് നീക്കം ചെയ്തു, പാക്കേജ്.json ഫയലിന് പകരം ഒരു ക്ലീൻ പതിപ്പ് നൽകി.
- npm ലിസ്റ്റ് axios കമാൻഡ് ഫിൽട്ടറിംഗ് 1.14.1 അല്ലെങ്കിൽ 0.30.4 ഉപയോഗിച്ച് ബാധിച്ച പതിപ്പുകൾക്കായി പരിശോധിക്കുന്നു
- വിട്ടുവീഴ്ചയുടെ സൂചകമായി node_modules/plain-crypto-js ഫോൾഡറിൻ്റെ സാന്നിധ്യം പരിശോധിക്കുന്നു
- മറ്റ് സിസ്റ്റങ്ങളിൽ /tmp/ld.py അല്ലെങ്കിൽ തത്തുല്യമായ ഫയലുകൾ പോലെയുള്ള ആർട്ടിഫാക്റ്റുകൾക്കായി തിരയുക
ഡെവലപ്പർമാർക്കായി ശുപാർശ ചെയ്യുന്ന ലഘൂകരണ നടപടികൾ
1.14.1 അല്ലെങ്കിൽ 0.30.4 പതിപ്പുകൾ ഇൻസ്റ്റാൾ ചെയ്ത ഡെവലപ്പർമാർ പരിസ്ഥിതി വിട്ടുവീഴ്ച ചെയ്തത് പരിഗണിക്കുകയും ഉടനടി നടപടിയെടുക്കുകയും വേണം. ഏറ്റവും പുതിയ ബ്രാഞ്ചിൽ axios@1.14.0 അല്ലെങ്കിൽ ലെഗസി പതിപ്പിൽ axios@0.30.3 എന്ന മുൻ സുരക്ഷിത പതിപ്പുകളിലേക്ക് മടങ്ങുക എന്നതാണ് പ്രധാന നിർദ്ദേശം.
വ്യാജ ഡിപൻഡൻസി നീക്കം ചെയ്യേണ്ടത് അത്യാവശ്യമാണ്, –ignore-scripts ഫ്ലാഗ് ഉപയോഗിച്ച് ഒരു ക്ലീൻ ഇൻസ്റ്റാളേഷൻ നടത്തുക, കൂടാതെ NPM ടോക്കണുകൾ, SSH കീകൾ, ക്ലൗഡ് സർവീസ് ആക്സസ്സ്, എൻവയോൺമെൻ്റ് വേരിയബിളുകൾ എന്നിവയുൾപ്പെടെ എല്ലാ സെൻസിറ്റീവ് ക്രെഡൻഷ്യലുകളും റൊട്ടേറ്റ് ചെയ്യുക. തുടർച്ചയായ സംയോജന പൈപ്പ്ലൈനുകളിൽ, ഇൻസ്റ്റലേഷനു ശേഷമുള്ള സ്ക്രിപ്റ്റുകൾ അവഗണിക്കുന്ന പരാമീറ്റർ ശാശ്വതമായി സ്വീകരിക്കുന്നത് ആവശ്യമില്ലാത്ത ഓട്ടോമാറ്റിക് എക്സിക്യൂഷനുകൾ തടയാൻ സഹായിക്കുന്നു.
ജാവാസ്ക്രിപ്റ്റ് വികസന ആവാസവ്യവസ്ഥയിൽ സ്വാധീനം
Node.js ഇക്കോസിസ്റ്റത്തിലും ഫ്രണ്ട്-എൻഡ് ആപ്ലിക്കേഷനുകളിലും ഏറ്റവും കൂടുതൽ ഉപയോഗിക്കുന്ന ലൈബ്രറികളിൽ ഒന്നാണ് Axios, നിരവധി കോർപ്പറേറ്റ്, ഓപ്പൺ സോഴ്സ് പ്രോജക്റ്റുകളുടെ നേരിട്ടോ അല്ലാതെയോ ആശ്രിതത്വമാണ്. കോർ കോഡ് കേടുകൂടാതെയിരിക്കുമ്പോഴും, വളരെ ജനപ്രിയമായ പാക്കേജുകളിലെ വ്യക്തിഗത മെയിൻ്റനർ അക്കൗണ്ടുകളുടെ അന്തർലീനമായ അപകടസാധ്യത ആക്രമണം എടുത്തുകാണിക്കുന്നു.
ക്ഷുദ്രകരമായ പേലോഡ് കുത്തിവയ്ക്കുന്നതിന് മുമ്പ് ഒരു വൃത്തിയുള്ള പതിപ്പിൽ തെറ്റായ ആശ്രിതത്വം മുൻകൂട്ടി തയ്യാറാക്കിക്കൊണ്ട്, ഉപയോഗിച്ച രീതി പ്രവർത്തന നൂതനത്വം പ്രകടമാക്കുന്നുവെന്ന് സുരക്ഷാ വിദഗ്ധർ അഭിപ്രായപ്പെടുന്നു. Essa സ്ട്രാറ്റജി പ്രാരംഭ സ്വയമേവ കണ്ടെത്തലുകൾ സങ്കീർണ്ണമാക്കുകയും പതിപ്പുകൾ ലഭ്യമായ ഹ്രസ്വ കാലയളവിൽ അപകടസാധ്യത വർദ്ധിപ്പിക്കുകയും ചെയ്തു.
ബാധിച്ച ചുറ്റുപാടുകൾ പരിശോധിക്കുന്നതിനും വൃത്തിയാക്കുന്നതിനുമുള്ള മാർഗ്ഗനിർദ്ദേശങ്ങൾ
ക്ഷുദ്രകരമായ പതിപ്പുകൾ ഡൗൺലോഡ് ചെയ്തിട്ടുണ്ടോ എന്ന് തിരിച്ചറിയാൻ ഡെവലപ്മെൻ്റ് ടീമുകൾക്ക് ഇൻസ്റ്റാളേഷൻ ലോഗുകളും പാക്കേജ് ചരിത്രവും ഓഡിറ്റ് ചെയ്യേണ്ടതുണ്ട്. node_modules-ലെ plain-crypto-js ഫോൾഡറിൻ്റെ സാന്നിധ്യം പിന്നീട് ഫയൽ നീക്കം ചെയ്താലും ഡ്രോപ്പർ എക്സിക്യൂട്ട് ചെയ്തു എന്നതിൻ്റെ ശക്തമായ സൂചകമായി വർത്തിക്കുന്നു.
വൃത്തിയാക്കിയ ശേഷം, ഭീഷണി കണ്ടെത്തൽ ഉപകരണങ്ങൾ ഉപയോഗിച്ച് സിസ്റ്റങ്ങൾ പൂർണ്ണമായി സ്കാൻ ചെയ്യാനും നിയന്ത്രണ സെർവറുമായി ബന്ധപ്പെട്ട വിലാസങ്ങളിലേക്കുള്ള നെറ്റ്വർക്ക് കണക്ഷനുകൾ നിരീക്ഷിക്കാനും ശുപാർശ ചെയ്യുന്നു. സ്വകാര്യ റിപ്പോസിറ്ററികളിലെ സുരക്ഷാ നയങ്ങൾ ഉടനടി അപ്ഡേറ്റ് ചെയ്യുന്നത് മറ്റ് പാക്കേജുകളിലെ സമാന അപകടസാധ്യതകൾ കുറയ്ക്കാൻ സഹായിക്കുന്നു.
പാക്കറ്റ് ലോഗുകളിലെ ഭാവി ആക്രമണങ്ങൾ തടയുന്നു
അക്കൗണ്ടുകൾ പ്രസിദ്ധീകരിക്കുന്നതിൽ കർശനമായ മൾട്ടി-ഫാക്ടർ പ്രാമാണീകരണം, പാക്കേജ് മെറ്റാഡാറ്റയിലെ മാറ്റങ്ങളുടെ തുടർച്ചയായ നിരീക്ഷണം, കൂടുതൽ ശക്തമായ സമഗ്രത പരിശോധിക്കൽ തുടങ്ങിയ നടപടികളുടെ പ്രാധാന്യം ഈ സംഭവം ശക്തിപ്പെടുത്തുന്നു. ഉയർന്ന ദത്തെടുക്കലുള്ള Projetos ഓപ്പൺ സോഴ്സ് സിസ്റ്റങ്ങൾ പുതിയ റിലീസുകൾക്ക് മുമ്പ് അധിക അവലോകന പ്രക്രിയകൾ പരിഗണിച്ചേക്കാം.
വ്യക്തിഗത ഡെവലപ്പർമാരും കമ്പനികളും പ്രോജക്റ്റ് കോൺഫിഗറേഷൻ ഫയലുകളിൽ അറിയപ്പെടുന്ന സുരക്ഷിത പതിപ്പുകൾ പിൻ ചെയ്യുന്നതിന് മുൻഗണന നൽകണം, മുൻകൂർ മൂല്യനിർണ്ണയം കൂടാതെ അപ്ഡേറ്റുകളുടെ യാന്ത്രിക ഇൻസ്റ്റാളേഷൻ ഒഴിവാക്കുക. Essas സമ്പ്രദായങ്ങൾ സോഫ്റ്റ്വെയർ വിതരണ ശൃംഖലകളിലെ ആക്രമണ പ്രതലത്തെ പരിമിതപ്പെടുത്താൻ സഹായിക്കുന്നു.
സാധ്യമായ ഇരകളെ മാപ്പ് ചെയ്യുന്നതിനും കണ്ടെത്തൽ ഉപകരണങ്ങൾ പരിഷ്കരിക്കുന്നതിനും സുരക്ഷാ കമ്മ്യൂണിറ്റി കേസ് നിരീക്ഷിക്കുന്നത് തുടരുന്നു. Até ഇപ്പോൾ, വലിയ തോതിലുള്ള ചൂഷണത്തെക്കുറിച്ച് പൊതു റിപ്പോർട്ടുകളൊന്നുമില്ല, എന്നാൽ ബാധിത പതിപ്പുകളുടെ ഏതെങ്കിലും ഇൻസ്റ്റാളേഷൻ ഉൾപ്പെട്ടിരിക്കുന്ന സിസ്റ്റത്തിൻ്റെ മൊത്തം വിട്ടുവീഴ്ചയായി കണക്കാക്കണമെന്നാണ് ഏകകണ്ഠമായ ശുപാർശ.