NPM सप्लाई-चेन हमलों की चेतावनी देने वाले लेजर CTO ने 1 बिलियन से अधिक डाउनलोड प्रभावित किए

हार्डवेयर वॉलेट प्रदाता लेजर के मुख्य प्रौद्योगिकी अधिकारी चार्ल्स गुइलेमेट ने Node.js इकोसिस्टम को प्रभावित करने वाले एक चालू सप्लाई-चेन हमले के बारे में सार्वजनिक चेतावनी जारी की है। गुइलेमेट के सोशल मीडिया प्लेटफ़ॉर्म X पर पोस्ट के अनुसार, हमलावरों ने एक प्रतिष्ठित डेवलपर के NPM (Node Package Manager) खाते तक पहुंच प्राप्त की और व्यापक रूप से उपयोग होने वाले जावास्क्रिप्ट पैकेजों में दुर्भावनापूर्ण कोड इंजेक्ट किया। समझौता किए गए पैकेजों के डाउनलोड की संख्या 1 बिलियन से अधिक हो चुकी है, जो क्रिप्टोकरेंसी क्षेत्र के डेवलपर्स और एंड यूज़र्स के लिए एक संभावित गंभीर खतरे को दर्शाता है।

दुर्भावनापूर्ण पेलोड प्रभावित लाइब्रेरीज के भीतर लेनदेन डेटा को इंटरसेप्ट और बदलने के लिए डिज़ाइन किया गया है, शांतिपूर्वक अपेक्षित वॉलेट पते को हमलावर के पते से बदल देता है। ऐसे संशोधन उन अनुप्रयोगों के लिए अदृश्य रहते हैं जो कड़ाई से ऑन-चेन पता सत्यापन लागू नहीं करते। नतीजन, विकेंद्रीकृत अनुप्रयोगों या स्मार्ट कॉन्ट्रैक्टों के माध्यम से भेजी गई धनराशि जिनका निर्भरता समझौता किए गए पैकेजों पर है, अनधिकृत खातों में पुनर्निर्देशित हो सकती है, जिससे उपयोगकर्ताओं को महत्वपूर्ण वित्तीय नुकसान हो सकता है।

गुइलेमेट ने जोर दिया कि इस प्रकार के हमले के खिलाफ एकमात्र भरोसेमंद रक्षा सुरक्षित डिस्प्ले और क्लियर साइनिंग समर्थन वाले हार्डवेयर वॉलेट का उपयोग है। सुरक्षित डिस्प्ले उपयोगकर्ताओं को ट्रांसफर को अंतिम रूप देने से पहले सटीक प्राप्तकर्ता पता और लेनदेन राशि को सत्यापित करने की अनुमति देता है। इस स्तर की सत्यापन के बिना, डाउनस्ट्रीम वॉलेट सॉफ़्टवेयर या विकेंद्रीकृत अनुप्रयोग पता-स्वैप हमलों के लिए संवेदनशील बने रहेंगे।

ओपन-सोर्स सॉफ़्टवेयर सप्लाई चेन को विशेष रूप से महत्वपूर्ण आधारभूत संरचना और वित्तीय अनुप्रयोगों में संभावित समझौते के बिंदुओं के रूप में लंबे समय से माना जाता है। NPM पर हमला आधुनिक विकास वर्कफ़्लोज़ की अंतर्संबद्ध प्रकृति को उजागर करता है, जहां एक खाते में उल्लंघन व्यापक कोड प्रदूषण में परिणत हो सकता है। सुरक्षा विशेषज्ञ उच्च जोखिम वाले पैकेजों के मेंटेनरों से बहु-कारक प्रमाणीकरण, नियमित सुरक्षा समीक्षा और स्वचालित अखंडता जांच को व्यापक कड़ीकरण रणनीति का हिस्सा बनाने का आग्रह कर रहे हैं।

लेजर ने दुर्भावनापूर्ण कोड के प्रसार को तेज करने से बचने के लिए अभी तक विशिष्ट पैकेजों या संबंधित डेवलपर्स की पहचान नहीं की है। गुइलेमेट ने डेवलपर्स को अपने निर्भरता की जांच करने, नेटवर्क अनुरोधों की असामान्य पता-स्वैप गतिविधि के लिए निगरानी करने और पैकेज अखंडता सत्यापन के लिए क्रिप्टोग्राफिक टूल्स का उपयोग करने की सलाह दी। उन्होंने व्यापक ओपन-सोर्स समुदाय और एंटरप्राइज़ उपयोगकर्ताओं से समझौता किए गए मॉड्यूल की खोज और सुधार में सहयोग करने का भी आह्वान किया।

यह घटना लोकप्रिय इकोसिस्टम में ट्रोजनाइज्ड निर्भरताओं सहित सॉफ़्टवेयर विकास में उच्च-प्रोफ़ाइल सप्लाई-चेन हमलों की एक श्रृंखला के बाद आई है। यह हमला याद दिलाता है कि सुरक्षा उपायों को अनुप्रयोगों पर सीधे हमलों से आगे बढ़कर पूरे विकास पाइपलाइन पर लागू किया जाना चाहिए। संगठनों को भविष्य के जोखिमों को कम करने के लिए निर्भरता व्हाइटलिस्टिंग, सतत निगरानी और घटना-प्रतिक्रिया योजना सहित कठोर सुरक्षा नियंत्रण लागू करने के लिए प्रोत्साहित किया जाता है।

रिपोर्टिंग: मार्गौक्स नाइकजर्क; संपादन: निखिलेश डे।