क्रिप्टोकरेंसी को निशाना बनाने वाले परिष्कृत सप्लाई चेन हमले में उत्तर कोरियाई हैकरों ने Axios लाइब्रेरी पर कब्ज़ा किया

लोकप्रिय कोड रिपॉजिटरी में हमलावरों के ज़हर घोलने से लाखों डेवलपर जोखिम में

उत्तर कोरियाई हैकरों ने हाल के वर्षों के सबसे परिष्कृत सप्लाई चेन हमलों में से एक को अंजाम दिया है। उन्होंने Axios को अपने कब्ज़े में ले लिया, जो एक JavaScript लाइब्रेरी है और जिसे हर सप्ताह लगभग 10 करोड़ बार डाउनलोड किया जाता है। 31 मार्च की शुरुआती सुबह करीब तीन घंटे तक चले इस हमले में ऐसा दुर्भावनापूर्ण कोड डाला गया, जिसका इस्तेमाल स्वास्थ्य सेवा, वित्त, क्रिप्टोकरेंसी एक्सचेंज और प्रौद्योगिकी क्षेत्रों की हजारों कंपनियां करती हैं। सुरक्षा शोधकर्ताओं का अनुमान है कि लाइब्रेरी के उपयोगकर्ताओं में से लगभग तीन प्रतिशत ने संक्रमित संस्करण डाउनलोड किए। इससे सैकड़ों हजारों सिस्टम को रिमोट एक्सेस ट्रोजन के जोखिम में डाल दिया गया होगा, जिन्हें क्रिप्टोकरेंसी और कारोबारी संस्थानों के लॉगिन विवरण चुराने के लिए बनाया गया है।

Axios एक प्रॉमिस-आधारित HTTP क्लाइंट है, जो Node.js और ब्राउज़र—दोनों से एसिंक्रोनस API अनुरोध करने की सुविधा देता है। इस वजह से यह आधुनिक वेब ऐप्लिकेशन का बुनियादी घटक है। स्वास्थ्य सेवा प्रदाताओं से लेकर वित्तीय संस्थानों तक की कंपनियां वेबसाइट बनाना और डेटा का आदान-प्रदान आसान करने के लिए इस लाइब्रेरी पर निर्भर हैं। डिजिटल परिसंपत्ति उद्योग में सक्रिय कुछ क्रिप्टोकरेंसी कंपनियां और प्रौद्योगिकी कंपनियां भी इस सॉफ्टवेयर का इस्तेमाल करती हैं, जिससे वे प्योंगयांग के राजस्व जुटाने वाले साइबर अभियानों के लिए खास तौर पर मूल्यवान लक्ष्य बन जाती हैं। कारोबारी परिवेश में Axios का व्यापक इस्तेमाल होने का अर्थ है कि इस सेंध से इस पर निर्भर अन्य सॉफ्टवेयर और एकीकृत सेवाओं के लिए भी जोखिम बढ़ गया है।

Google के Threat Intelligence Group ने इस घटना के लिए औपचारिक रूप से UNC1069 को जिम्मेदार ठहराया है। यह वित्तीय लाभ के लिए काम करने वाला उत्तर कोरियाई खतरा समूह है, जो कम से कम 2018 से सक्रिय है। इस समूह ने प्योंगयांग के परमाणु और मिसाइल कार्यक्रमों के लिए धन जुटाने के मकसद से क्रिप्टोकरेंसी एक्सचेंज, विकेंद्रीकृत वित्त प्लेटफॉर्म और वेंचर कैपिटल कंपनियों को निशाना बनाने में अपनी पहचान बनाई है। Google के स्वामित्व वाली खुफिया कंपनी Mandiant के अनुसार, यह उत्तर कोरिया के उस अभियान में नया उछाल है, जिसमें वह उच्च-मूल्य वाले आर्थिक लक्ष्यों के खिलाफ वैश्विक सॉफ्टवेयर सप्लाई चेन को हथियार बना रहा है।

Mandiant के मुख्य प्रौद्योगिकी अधिकारी चार्ल्स कारमाकल ने इस खतरे के दीर्घकालिक स्वरूप के बारे में बताया।

हमें आशंका है कि वे इस सॉफ्टवेयर सप्लाई चेन हमले में हाल ही में हासिल किए गए लॉगिन विवरण और सिस्टम तक पहुंच का इस्तेमाल कंपनियों को निशाना बनाने और उनसे क्रिप्टोकरेंसी चुराने के लिए करेंगे। इस अभियान का आगे के सिस्टमों पर क्या असर पड़ा है, इसका आकलन करने में संभवतः कई महीने लगेंगे।

Huntress के सुरक्षा शोधकर्ता जॉन हैमंड ने बताया कि उनकी कंपनी ने करीब 12 कंपनियों के लगभग 135 संक्रमित डिवाइसों की पहचान की है। हालांकि, उन्हें उम्मीद है कि फॉरेंसिक जांच पूरी होने पर यह शुरुआती खोजों का केवल पहला दौर साबित होगा।

सप्लाई चेन में सेंध कैसे लगी

हमले की शुरुआत तब हुई जब हैकरों ने Axios लाइब्रेरी के मुख्य मेंटेनर @jasonsaayman के npm खाते पर कब्ज़ा कर लिया। अत्याधुनिक ज़ीरो-डे कमजोरियों का फायदा उठाने के बजाय, हमलावरों ने लंबे समय तक सक्रिय रहने वाले एक्सेस टोकन का इस्तेमाल कर OpenID Connect-आधारित प्रमाणीकरण प्रक्रियाओं समेत आधुनिक सुरक्षा नियंत्रणों को दरकिनार किया। इससे वे सॉफ्टवेयर के दो ट्रोजन-संक्रमित संस्करण—1.14.1 और 0.30.4—सीधे Node Package Manager रजिस्ट्री में प्रकाशित कर सके, और न तो मानक सुरक्षा अलर्ट सक्रिय हुए, न ही बहु-कारक प्रमाणीकरण की जरूरत पड़ी।

हैमंड ने हमले को संभव बनाने वाली एक अहम कॉन्फ़िगरेशन खामी की ओर ध्यान दिलाया। v1.x शाखा में भी, जहां OIDC Trusted Publishing कॉन्फ़िगर था, प्रकाशित करने की प्रक्रिया में OIDC लॉगिन विवरण के साथ NPM_TOKEN को पर्यावरण चर के तौर पर भेजा जाता था। दोनों मौजूद होने पर npm टोकन का इस्तेमाल करता है। इसका मतलब था कि OIDC कॉन्फ़िगरेशन चाहे जो हो, सभी प्रकाशकों के लिए लंबे समय तक सक्रिय टोकन ही प्रमाणीकरण का असल तरीका था। इस वास्तु-संबंधी चूक ने हमलावरों को सुरक्षा उपायों को दरकिनार करने दिया, जबकि मेंटेनर ने अपने खातों पर बहु-कारक प्रमाणीकरण चालू किया हुआ था। इससे पता चलता है कि विरासत में मिले प्रमाणीकरण तरीके आधुनिक सुरक्षा ढांचों को कैसे कमजोर कर सकते हैं।

हमलावरों ने सावधानीपूर्वक तैयारी और धैर्य का परिचय दिया। मुख्य हमले से 18 घंटे पहले उन्होंने plain-crypto-js नाम की एक संदिग्ध निर्भरता का साफ संस्करण प्रकाशित किया, ताकि प्रकाशन का इतिहास बनाया जा सके और बिना किसी इतिहास वाले खाते पर शक न हो। Axios का पहला दुर्भावनापूर्ण संस्करण जारी करने से 20 मिनट पहले उन्होंने इस निर्भरता का हथियारबंद संस्करण डाला। इसमें इंस्टॉलेशन के बाद चलने वाली ऐसी स्क्रिप्ट थी, जो डेवलपर द्वारा संक्रमित लाइब्रेरी इंस्टॉल या अपडेट करते ही अपने आप सक्रिय हो जाती। इसके ठीक 39 मिनट बाद दूसरा बैकडोरयुक्त संस्करण जारी किया गया। इससे संकेत मिलता है कि समूह ने मौके की छोटी-सी अवधि में अधिकतम प्रसार के लिए अपनी तैनाती प्रक्रिया स्वचालित कर रखी थी।

हमले के दौरान मेंटेनरों को नियंत्रण वापस पाने में बड़ी मुश्किलों का सामना करना पड़ा। GitHub पर एक सार्वजनिक इश्यू में एक सहयोगी ने बताया कि वे उस खाते की पहुंच रद्द नहीं कर पा रहे थे, जिससे दुर्भावनापूर्ण संस्करण प्रकाशित किया गया था। उन्होंने कहा कि हमलावर के पास उनसे अधिक अनुमतियां थीं। इससे समय के खिलाफ दौड़ शुरू हो गई: हैकरों के पास प्रकाशित करने के अधिकार बने रहे, जबकि डेवलपर समुदाय नुकसान को रोकने में जुटा था। NPM ने आखिरकार शुरुआती प्रकाशन के तीन घंटे बाद दुर्भावनापूर्ण संस्करणों को हटाया और plain-crypto-js पैकेज पर सुरक्षा रोक लगा दी। एक घंटे बाद उसकी जगह सुरक्षा-धारक स्टब डाल दिया गया।

क्रॉस-प्लेटफॉर्म मैलवेयर ने स्थायी बैकडोर पहुंचाई

इंस्टॉल होने के बाद दुर्भावनापूर्ण निर्भरता ने SILKBELL नाम का छिपाया गया JavaScript ड्रॉपर तैनात किया। इसने sfrclak.com पर मौजूद रिमोट कमांड-एंड-कंट्रोल सर्वर से हर प्लेटफॉर्म के लिए अलग पेलोड हासिल किए। Windows सिस्टम पर मैलवेयर ने PowerShell-आधारित टूल पहुंचाए, जो मनमाने कमांड चला सकते थे। macOS उपयोगकर्ताओं को C++ Mach-O बाइनरी मिली, जबकि Linux इंस्टॉलेशन को Python बैकडोर से निशाना बनाया गया। सुरक्षा शोधकर्ताओं ने इस दूसरे चरण के मैलवेयर की पहचान WAVESHAPER.V2 के रूप में की। यह उसी बैकडोर का विकसित रूप है, जिसे 2023 से क्रिप्टोकरेंसी क्षेत्र पर हुए हमलों में UNC1069 से जोड़ा जाता रहा है।

हमले की तकनीकी संरचना जानबूझकर अपनाई गई छिपने की रणनीति और विभिन्न प्लेटफॉर्म की समझ को उजागर करती है। Axios के सोर्स कोड में सीधे बदलाव करने के बजाय—जो सार्वजनिक रिपॉजिटरी में दिखाई देता और कोड समीक्षा के अलर्ट सक्रिय कर देता—हैकरों ने एक निर्भरता श्रृंखला के जरिए दुर्भावनापूर्ण कार्यक्षमता जोड़ी। StepSecurity के शोधकर्ताओं ने कहा, Axios के भीतर दुर्भावनापूर्ण कोड की एक भी पंक्ति नहीं है, और यही बात इस हमले को इतना खतरनाक बनाती है। plain-crypto-js पैकेज अपनी package.json फ़ाइल में मौजूद postinstall हुक के जरिए चलता था। इससे इंस्टॉलेशन प्रक्रिया के दौरान मैलवेयर चुपचाप सक्रिय हो जाता, फिर अपने निशान मिटाकर पैकेज का मेटाडेटा साफ संस्करण से बदल देता।

WAVESHAPER.V2 हर 60 सेकंड में अपने कमांड-एंड-कंट्रोल ढांचे से संपर्क करता है और कमांड-लाइन आर्ग्युमेंट के जरिए डायनामिक C2 URL स्वीकार करता है। इस डिजाइन से हमलावर मैलवेयर दोबारा तैनात किए बिना अपना ढांचा बदल सकते हैं। बैकडोर के चार मुख्य काम हैं: चल रही प्रक्रियाओं को रोकना, टाइमस्टैम्प और फ़ाइल आकार समेत विस्तृत मेटाडेटा के साथ डायरेक्टरी की सूची बनाना, macOS पर AppleScript या Linux पर शेल कमांड जैसी मूल स्क्रिप्टिंग भाषाओं से सिस्टम कमांड चलाना, और चल रही प्रक्रियाओं में मनमानी बाइनरी डालना। Elastic Security Labs के विश्लेषण में पता चला कि macOS बाइनरी में डेवलपर बिल्ड पाथ मौजूद हैं, जो पिछले RustBucket और Hidden Risk मैलवेयर अभियानों के BlueNoroff के webT मॉड्यूल से सीधे जुड़ते हैं। इससे उत्तर कोरिया से इस हमले के संबंध की पुष्टि को बल मिलता है।

प्योंगयांग का डिजिटल राजस्व तंत्र

उत्तर कोरिया के हैकिंग अभियान उसके प्रतिबंधित परमाणु हथियार कार्यक्रम के लिए धन जुटाने का प्रमुख जरिया बन चुके हैं। 2023 में जारी संयुक्त राष्ट्र की रिपोर्टों और व्हाइट हाउस के अनुमानों के मुताबिक, प्योंगयांग के मिसाइल विकास के लिए मिलने वाली करीब आधी रकम साइबर चोरी से आती है। हाल के वर्षों में हैकरों ने बैंकों और क्रिप्टोकरेंसी कंपनियों से अरबों डॉलर चुराए हैं। अकेले पिछले साल उत्तर कोरियाई ऑपरेटरों ने एक रिकॉर्डतोड़ डकैती में 1.5 अरब डॉलर की क्रिप्टोकरेंसी चुराई, जो बड़े पैमाने पर उच्च-मूल्य वाले लक्ष्यों में सेंध लगाने की उनकी क्षमता दिखाती है।

Wiz में रणनीतिक खतरा खुफिया विभाग के निदेशक बेन रीड ने बताया कि उत्तर कोरिया दूसरे राष्ट्र-समर्थित समूहों से अलग तरीके से काम करता है।

उत्तर कोरिया को अपनी छवि या इस बात की चिंता नहीं है कि आखिरकार उसकी पहचान उजागर हो जाएगी। इसलिए, भले ही इस तरह के अभियान बहुत शोर मचाते हैं और उन पर सबकी नजर रहती है, लेकिन उत्तर कोरिया यह कीमत चुकाने को तैयार है।

जोखिम उठाने की यही प्रवृत्ति प्योंगयांग को ऐसे खुलेआम सप्लाई चेन हमले करने देती है, जिनसे अन्य देश संभावित राजनयिक नतीजों या जिम्मेदारी तय होने की आशंका के कारण बच सकते हैं। Axios में सेंध उस पैटर्न का हिस्सा है जिसकी शुरुआत तीन साल पहले हुई थी, जब उत्तर कोरियाई ऑपरेटरों ने कथित तौर पर 3CX में घुसपैठ की थी। यह सॉफ्टवेयर प्रदाता स्वास्थ्य सेवा कंपनियां और होटल चेन वॉयस और वीडियो कॉल के लिए इस्तेमाल करती हैं।

Google Threat Intelligence Group के मुख्य विश्लेषक जॉन हल्टक्विस्ट ने डिजिटल परिसंपत्तियों पर समूह के खास फोकस पर जोर दिया।

उत्तर कोरियाई हैकरों को सप्लाई चेन हमलों का गहरा अनुभव है और वे पहले भी इनका इस्तेमाल क्रिप्टोकरेंसी चुराने के लिए करते रहे हैं। इस घटना का पूरा दायरा अभी स्पष्ट नहीं है, लेकिन संक्रमित पैकेज की लोकप्रियता को देखते हुए हमें इसके दूरगामी असर की आशंका है।

UNC1069 इससे पहले फर्जी Zoom बैठकों, सोशल इंजीनियरिंग के तरीकों और कई अलग-अलग मैलवेयर परिवारों का इस्तेमाल कर वित्तीय प्रौद्योगिकी कंपनियों को निशाना बना चुका है। इससे क्रिप्टोकरेंसी तंत्र पर उसका लगातार और बदलता हुआ फोकस जाहिर होता है।

सप्लाई चेन कमजोरियों का सिलसिला

Axios की घटना ओपन-सोर्स सॉफ्टवेयर तंत्र को निशाना बनाने वाले सप्लाई चेन हमलों में चिंताजनक उछाल के बीच हुई है। पिछले महीने सुरक्षा टीमों ने लगातार हुई कई सेंधों से निपटा, जिनमें लोकप्रिय सुरक्षा स्कैनिंग टूल Trivy, AI मॉडल एकीकरण के लिए व्यापक रूप से इस्तेमाल होने वाली Python लाइब्रेरी LiteLLM और संचार प्लेटफॉर्म Telnyx पर हमले शामिल हैं। Google ने पुष्टि की है कि Axios पर हुआ हमला हाल की TeamPCP सप्लाई चेन घटनाओं से संबंधित नहीं है। फिर भी, हर सफल सेंध हमलावरों को नए लॉगिन विवरण और अन्य रिपॉजिटरी तक शुरुआती पहुंच देती है, जिससे सेंध का एक ऐसा चक्र बनता है जो अपने आप चलता रहता है।

कारमाकल ने चेतावनी दी कि हाल के हमलों से चुराए गए संवेदनशील डेटा का विशाल भंडार तैयार हो गया है। उन्होंने कहा, पिछले दो हफ्तों में चुराए गए लॉगिन विवरण आने वाले दिनों, हफ्तों और महीनों में और सॉफ्टवेयर सप्लाई चेन हमलों, सॉफ्टवेयर-एज़-अ-सर्विस परिवेशों में सेंध लगाकर उनके ग्राहकों को निशाना बनाने, रैंसमवेयर और जबरन वसूली की घटनाओं तथा क्रिप्टोकरेंसी की चोरी को संभव बनाएंगे। हमें पता है कि सैकड़ों हजारों लॉगिन विवरण चुराए गए हैं। अलग-अलग मकसद वाले कई तरह के समूह इन हमलों के पीछे हैं। कल हुए axios npm सप्लाई चेन हमले का असर व्यापक है और यह उन अन्य लोकप्रिय पैकेजों तक भी पहुंचता है जो इस पर निर्भर हैं।

SentinelOne के वरिष्ठ शोधकर्ता टॉम हेगल ने खतरे के अदृश्य स्वरूप पर जोर दिया।

जब भी आप कोई वेबसाइट खोलते हैं, बैंक बैलेंस देखते हैं या फोन पर ऐप खोलते हैं, तो इस बात की अच्छी संभावना है कि पृष्ठभूमि में कहीं Axios चल रहा हो और उस काम को अंजाम दे रहा हो। आपको कुछ क्लिक करने या कोई गलती करने की जरूरत नहीं है। आपके भरोसेमंद सॉफ्टवेयर ने यह काम आपकी ओर से कर दिया।

यह बात दिखाती है कि सप्लाई चेन हमले स्थापित सॉफ्टवेयर घटकों पर उपयोगकर्ताओं के सहज भरोसे का फायदा कैसे उठाते हैं। इस तरह वे पारंपरिक सुरक्षा-जागरूकता प्रशिक्षण और एंडपॉइंट सुरक्षा उपायों को दरकिनार कर सकते हैं।

बच निकलने की तकनीकें और फॉरेंसिक उपाय

हमलावरों ने डिजिटल फॉरेंसिक जांच को मुश्किल बनाने और पहचान से बचने के लिए परिष्कृत उपाय अपनाए। सक्रिय होने के बाद मैलवेयर ने न केवल अपनी इंस्टॉलेशन फ़ाइलें मिटाईं, बल्कि सुरक्षा टीमों को भ्रमित करने के लिए संस्करण की रिपोर्टिंग में भी हेरफेर किया। दुर्भावनापूर्ण plain-crypto-js पैकेज ने अपना संस्करण 4.2.1 के बजाय 4.2.0 बताया, जिससे सुरक्षा टीमों को पैकेज की अखंडता की पुष्टि करने में भ्रम हो सकता था। इस संस्करण-जालसाजी का मकसद प्रशासकों को यह यकीन दिलाना था कि उनके सिस्टम पर वैध सॉफ्टवेयर चल रहा है, जबकि असल में उन्होंने संक्रमित संस्करण इंस्टॉल किया था।

ReversingLabs के मुख्य सॉफ्टवेयर आर्किटेक्ट टोमिस्लाव पेरिसिन ने इस हमले को अलग-थलग घटना के बजाय भविष्य के अभियानों का नमूना बताया।

यहां दर्ज परिचालन परिष्कार का स्तर—जिसमें मेंटेनर के लॉगिन विवरण से समझौता, तीन ऑपरेटिंग सिस्टम के लिए पहले से तैयार पेलोड, 40 मिनट से कम समय में दोनों रिलीज शाखाओं पर हमला और फॉरेंसिक निशान खुद मिटाने की क्षमता शामिल है—ऐसे खतरा समूह को दिखाता है जिसने इसे बड़े पैमाने पर चलाए जा सकने वाले अभियान के रूप में तैयार किया था। अगर अब यह अभियान PyPI और NuGet पर भी दिख रहा है, तो यह हमले के तरीकों से पहले ही जाहिर संकेत के अनुरूप है: लक्ष्य था अधिकतम डेवलपरों तक पहुंचना।

अब संगठनों को केवल npm निर्भरताओं की नहीं, बल्कि अपने बिल्ड पाइपलाइन को चलाने वाले हर पैकेज मैनेजर की जांच करनी होगी। हैमंड ने कहा कि मौजूदा विकास रुझानों और स्वचालन को देखते हुए हमले का समय खास तौर पर चिंताजनक है। उन्होंने बताया कि संगठनों में बिना समीक्षा या सुरक्षा नियंत्रण के सॉफ्टवेयर बनाने वाले AI एजेंट तेजी से अपनाए जा रहे हैं और यह हैक ठीक इसी दौर में हुआ। जोखिम केवल सीधे Axios इस्तेमाल करने वालों तक सीमित नहीं है; यह उन सभी संगठनों तक फैला है जिनके डेवलपमेंट टूल निर्भरताओं को अपने आप हासिल करते हैं। Semgrep के संस्थापक आइज़ैक इवांस ने बताया कि जिन डेवलपरों ने संस्करण तय कर रखे थे, लॉकफ़ाइलें बनाए रखी थीं और मानक सुरक्षा नियमों का पालन किया था, वे भी इसकी चपेट में आ सकते थे, क्योंकि उनका एकीकृत विकास परिवेश पृष्ठभूमि में निर्भरता हासिल कर रहा था।

सॉफ्टवेयर सप्लाई चेन को सुरक्षित करना

विभिन्न उद्योगों की सुरक्षा टीमें अब जोखिम का आकलन करने और संक्रमित सिस्टमों को ठीक करने में जुटी हैं। Axios का इस्तेमाल करने वाले संगठनों को अपनी निर्भरता सूची में संस्करण 1.14.1 और 0.30.4 की तुरंत जांच करनी चाहिए, 1.14.0 या 0.30.3 जैसे सत्यापित सुरक्षित संस्करणों पर वापस जाना चाहिए और इंस्टॉलेशन के दौरान उपलब्ध रहे सभी लॉगिन विवरण बदलने चाहिए। संक्रमण के तकनीकी संकेतों में node_modules डायरेक्टरी में plain-crypto-js की मौजूदगी, sfrclak.com (IP पता 142.11.206.73) से नेटवर्क कनेक्शन, और macOS सिस्टम पर /Library/Caches/com.apple.act.mond जैसी अस्थायी डायरेक्टरियों में संदिग्ध प्रक्रियाएं शामिल हैं।

तुरंत किए जाने वाले बचाव के कदमों में अनजाने में अपडेट होने से रोकने के लिए package-lock.json फ़ाइलों में Axios के सुरक्षित संस्करण तय करना, दुर्भावनापूर्ण निर्भरता की मौजूदगी जांचना, पहचानी गई दुर्भावनापूर्ण प्रक्रियाओं को बंद करना, नेटवर्क की सीमा पर पहचाने गए कमांड-एंड-कंट्रोल डोमेन को ब्लॉक करना, प्रभावित सिस्टमों को प्रोडक्शन नेटवर्क से अलग करना और सेंध के दौरान उजागर हुए सभी संवेदनशील डेटा तथा लॉगिन विवरण बदलना शामिल है। संगठनों को API कुंजी या सर्विस खातों के अनधिकृत इस्तेमाल के लिए एक्सेस लॉग की भी समीक्षा करनी चाहिए, क्योंकि मैलवेयर ने इन्हें हासिल किया हो सकता है।

Sonatype के फील्ड CTO इल्का तुरुनेन ने इस घटना से उजागर हुई बुनियादी भरोसे की समस्याओं पर जोर दिया। उन्होंने कहा, यह हमला दिखाता है कि हैकर अब कोड के बजाय कोड पर लोगों के भरोसे का फायदा उठा रहे हैं। दुर्भावनापूर्ण क्षमता को चरणबद्ध तरीके से जोड़ी गई निर्भरता के जरिए पहुंचाया गया और उसे अपने निशान मिटाने के लिए बनाया गया था, जिससे हमले को पहचानना और समझना मुश्किल तथा धीमा हो गया। यह सिर्फ मैलवेयर नहीं है, बल्कि यह अधिक सोची-समझी और परिपक्व कार्यशैली दिखाता है। Kaseya में सुरक्षा प्रमुख माइक पुग्लिया ने कहा कि ये घटनाएं दुनिया के सॉफ्टवेयर तंत्र की नाजुकता का और सबूत देती हैं, जहां एक खाते में सेंध लगने से कुछ ही घंटों में हजारों संगठन जोखिम में पड़ सकते हैं।

मुख्य बिंदु

• उत्तर कोरियाई खतरा समूह UNC1069 ने Axios JavaScript लाइब्रेरी में सेंध लगाई। इसे हर सप्ताह 10 करोड़ बार डाउनलोड किया जाता है और यह करीब 80% क्लाउड परिवेशों में मौजूद है
• दुर्भावनापूर्ण संस्करण 1.14.1 और 0.30.4, 31 मार्च को करीब तीन घंटे तक उपलब्ध रहे। इन्हें उपयोगकर्ताओं में से लगभग 3% ने डाउनलोड किया, यानी डाउनलोड की संख्या संभवतः 6 लाख तक रही
• हमले में WAVESHAPER.V2 को पहुंचाने के लिए plain-crypto-js नाम की संदिग्ध निर्भरता का इस्तेमाल हुआ। यह क्रॉस-प्लेटफॉर्म बैकडोर Windows, macOS और Linux सिस्टमों को संक्रमित कर सकता है
• Google Mandiant को आशंका है कि समूह उत्तर कोरिया के परमाणु और मिसाइल कार्यक्रमों के लिए धन जुटाने हेतु लंबे समय तक क्रिप्टोकरेंसी चुराने के अभियानों में चोरी किए गए लॉगिन विवरण का इस्तेमाल करेगा
• मैलवेयर में उन्नत फॉरेंसिक-विरोधी क्षमताएं थीं। इनमें खुद को मिटाना और पहचान से बचने के लिए संस्करण 4.2.1 के बजाय 4.2.0 बताना शामिल था
• संगठनों को निर्भरता सूचियों की जांच करनी चाहिए, सभी लॉगिन विवरण बदलने चाहिए, C2 डोमेन sfrclak.com और IP 142.11.206.73 को ब्लॉक करना चाहिए तथा तुरंत Axios के सुरक्षित संस्करणों पर वापस जाना चाहिए
• सेंध लंबे समय तक सक्रिय रहने वाले एक्सेस टोकन के जरिए लगी, जिसने OIDC प्रमाणीकरण नियंत्रणों को दरकिनार किया। यह पुराने लॉगिन विवरण हटाने की जरूरत को उजागर करता है