मास्ट्रा AI आपूर्ति-श्रृंखला हमले में नॉर्थ कोरियन हैकर्स का हाथ: सुरक्षा विशेषज्ञों के लिए चेतावनी

Microsoft ने हाल ही में हुए मास्ट्रा AI सप्लाई-चेन हमले को उत्तर कोरिया से संचालित एक प्रमुख हैकिंग समूह सैफायर स्लीट (जिसे ब्लू-नॉर्फ भी कहा जाता है) से जोड़ा है। इस हमले में हैकर्स ने npm रजिस्ट्री में 140 से अधिक पैकेजों को निशाना बनाया, जिनमें easy-day-js नाम का दुर्भावनापूर्ण कोड शामिल था। यह हमला न केवल ओपन-सोर्स डेवलपर्स के लिए एक बड़ी चेतावनी है, बल्कि पूरे सॉफ्टवेयर आपूर्ति-श्रृंखला की सुरक्षा के लिए गंभीर सवाल खड़े करता है। इस लेख में हम जानेंगे कि यह हमला कैसे हुआ, इसका उद्देश्य क्या था, और भविष्य में ऐसे हमलों से बचाव के लिए क्या कदम उठाए जा सकते हैं।

npm पैकेजों में हुए इस बड़े पैमाने के हमले की पूरी कहानी

Microsoft ने अपने आधिकारिक बयान में बताया कि इस हमले की शुरुआत npm मेंटर मेंटर खाते "ehindero" के हैक होने से हुई। इस खाते का उपयोग Mastra AI नामक पैकेज रिपॉजिटरी में पैकेज प्रकाशित करने के लिए किया जा रहा था। हैकर्स ने इस पहुंच का फायदा उठाकर 140 से अधिक पैकेजों में दुर्भावनापूर्ण अपडेट प्रकाशित किए। इन अपडेट्स में "easy-day-js" नाम का एक नकली पैकेज शामिल था, जो वास्तविक और लोकप्रिय day.js लाइब्रेरी का टाइपोस्क्वैट (गलत वर्तनी वाला नकली संस्करण) था।

जब भी कोई डेवलपर इन पैकेजों को अपने प्रोजेक्ट में इंस्टॉल करता था, "easy-day-js" स्वचालित रूप से post-install हुक के माध्यम से एक मैलवेयर ड्रॉपर को निष्पादित करता था। यह ड्रॉपर डेवलपर की मशीन पर चुपचाप स्थापित हो जाता था और उसके बाद संवेदनशील क्रेडेंशियल्स, API कुंजियां, ऑथेंटिकेशन टोकन, और क्रिप्टोकरेंसी वॉलेट्स को चुराने का प्रयास करता था। Microsoft ने बताया कि इस हमले को अंजाम देने वाले हैकर्स ने TLS प्रमाणपत्र सत्यापन को निष्क्रिय कर दिया था, जिससे वे सुरक्षित संचार को भी बाधित कर सके।

मालवेयर का दूसरा चरण: क्रॉस-प्लेटफॉर्म सूचना चोर

Microsoft के अनुसार, "easy-day-js" द्वारा डाउनलोड किया गया दूसरा चरण वाला मालवेयर एक क्रॉस-प्लेटफॉर्म सूचना चोर था, जो Windows, Linux, और macOS तीनों ऑपरेटिंग सिस्टम पर काम करता था। इस मालवेयर ने पीड़ित के सिस्टम के बारे में विस्तृत जानकारी एकत्रित की, जिसमें शामिल थे:

• होस्ट सिस्टम की जानकारी (OS संस्करण, हार्डवेयर, उपयोगकर्ता नाम)
• ब्राउज़र इतिहास और कुकीज़
• इंस्टॉल किए गए एप्लिकेशन और चल रही प्रक्रियाएं
• 166 क्रिप्टोकरेंसी वॉलेट ब्राउज़र एक्सटेंशन की उपस्थिति की जांच (जैसे MetaMask, Phantom, Coinbase Wallet, Binance Wallet, TronLink)

मालवेयर ने स्थायीता स्थापित करने के लिए विभिन्न तरीकों का इस्तेमाल किया:

• Windows पर: रजिस्ट्री में Run कुंजियां जोड़ना
• macOS पर: LaunchAgents फ़ाइलों का उपयोग
• Linux पर: systemd सेवाओं का निर्माण

Microsoft ने बताया कि जिन सिस्टमों ने हमलावरों के कमांड-एंड-कंट्रोल (C2) सर्वरों से संचार किया, उन्हें बाद में सैफायर स्लीट से जुड़ी गतिविधियों का सामना करना पड़ा, जिसमें पहले से ज्ञात टैक्टिक्स, टेक्निक्स, और प्रोसीजर (TTPs) का उपयोग किया गया था।

क्यों खतरनाक है यह हमला? ओपन-सोर्स सप्लाई-चेन का जोखिम

इस हमले ने ओपन-सोर्स सॉफ्टवेयर इकोसिस्टम की कमजोरियों को उजागर किया है। npm जैसी रजिस्ट्रियों पर निर्भर लाखों डेवलपर्स और कंपनियां इस तरह के हमलों का शिकार हो सकती हैं। मुख्य जोखिम निम्नलिखित हैं:

1. ट्रस्ट की कमी: जब कोई लोकप्रिय पैकेज (जैसे day.js) का टाइपोस्क्वैट संस्करण सामने आता है, तो डेवलपर्स आसानी से धोखे का शिकार हो जाते हैं। कई बार पैकेज के नाम में छोटा-सा अंतर होने के कारण भी उपयोगकर्ता उसे असली समझ लेते हैं।

2. स्वचालित हमले: npm पैकेजों में post-install हुक का उपयोग करके मालवेयर का प्रसार स्वचालित रूप से होता है। इसका मतलब है कि एक बार दुर्भावनापूर्ण पैकेज प्रकाशित हो जाने के बाद, वह बड़ी संख्या में उपयोगकर्ताओं तक पहुंच सकता है।

3. क्रॉस-प्लेटफॉर्म खतरा: मालवेयर का क्रॉस-प्लेटफॉर्म होना इसे और खतरनाक बना देता है। Windows, Linux, और macOS सभी प्रभावित हो सकते हैं, जिससे संगठनों के लिए सुरक्षा उपायों को लागू करना मुश्किल हो जाता है।

4. क्रिप्टोकरेंसी लक्ष्य: हमलावरों का प्रमुख उद्देश्य क्रिप्टो वॉलेट्स से क्रिप्टोकरेंसी चुराना था। इससे संकेत मिलता है कि उत्तर कोरियाई हैकर्स का मुख्य लक्ष्य वित्तीय लाभ रहा है, जो उनके पिछले अभियानों के अनुरूप है।

सैफायर स्लीट: उत्तर कोरिया का वित्तीय क्षेत्र पर निशाना साधने वाला समूह

Microsoft ने इस हमले को सैफायर स्लीट नामक उत्तर कोरियाई राज्य प्रायोजित हैकिंग समूह से जोड़ा है। इस समूह को ब्लू-नॉर्फ के नाम से भी जाना जाता है और इसे मुख्य रूप से वित्तीय क्षेत्र को निशाना बनाने के लिए जाना जाता है। इसके पिछले अभियानों में शामिल हैं:

• बैंकिंग मालवेयर का प्रसार
• क्रिप्टोकरेंसी एक्सचेंजों पर हमले
• साइबर जासूसी और बौद्धिक संपदा की चोरी

Microsoft के अनुसार, इस समूह के हमले उच्च स्तर की योजना और तकनीकी कौशल का प्रदर्शन करते हैं। वे TTPs (टैक्टिक्स, टेक्निक्स, और प्रोसीजर) का बार-बार उपयोग करते हैं, जिससे उनके हमलों की पहचान और रोकथाम मुश्किल हो जाती है।

इस हमले से बचाव के लिए क्या करें? डेवलपर्स और संगठनों के लिए गाइड

इस तरह के आपूर्ति-श्रृंखला हमलों से बचाव के लिए सक्रिय सुरक्षा उपायों की आवश्यकता है। यहां कुछ महत्वपूर्ण कदम दिए गए हैं जिन्हें डेवलपर्स और संगठनों को अपनाना चाहिए:

1. पैकेजों की सत्यापन और निर्भरता की निगरानी

• निर्भरता स्कैनिंग: npm, PyPI, या अन्य पैकेज रजिस्ट्रियों से पैकेज इंस्टॉल करने से पहले उनकी प्रामाणिकता की जांच करें। टूल जैसे npm audit, Snyk, या Dependabot का उपयोग करें जो दुर्भावनापूर्ण पैकेजों की पहचान कर सकते हैं।
• हैश और हस्ताक्षर सत्यापन: पैकेजों के हैश (SHA-256) या डिजिटल हस्ताक्षरों की जांच करें। यदि पैकेज अपरिवर्तित है, तो उसके हैश की तुलना आधिकारिक स्रोत से करें।
• नियमित निर्भरता अपडेट: पुराने पैकेजों में मौजूद कमजोरियों का फायदा उठाकर हमलावर मालवेयर फैलाते हैं। इसलिए नियमित रूप से निर्भरताओं को अपडेट करें।

2. npm और अन्य रजिस्ट्रियों की सुरक्षा बढ़ाना

• दो-कारक प्रमाणीकरण (2FA): npm जैसी रजिस्ट्रियों में 2FA सक्षम करें ताकि खातों तक अनधिकृत पहुंच को रोका जा सके।
• प्रकाशन अनुमतियों का सीमितकरण: npm खातों को केवल आवश्यक पैकेजों तक ही पहुंच दें। अनावश्यक अनुमतियों को हटा दें।
• पैकेज प्रकाशन की निगरानी: यदि कोई अपरिचित पैकेज प्रकाशित होता है, तो उसकी तुरंत समीक्षा करें और संदिग्ध गतिविधि की रिपोर्ट करें।

3. डेवलपर वातावरण की सुरक्षा

• आइसोलेटेड डेवलपमेंट: कंटेनराइजेशन (Docker) या वर्चुअल मशीनों का उपयोग करें ताकि मालवेयर का प्रसार सीमित हो सके।
• प्रतिबंधित अनुमतियां: डेवलपर वातावरण में न्यूनतम अधिकार प्रदान करें। केवल उन्हीं संसाधनों तक पहुंच दें जिनकी आवश्यकता है।
• नियमित बैकअप: महत्वपूर्ण डेटा और कोड का नियमित बैकअप लें। मालवेयर के हमले की स्थिति में बैकअप से पुनर्प्राप्ति संभव है।

4. संगठनात्मक स्तर पर सुरक्षा उपाय

• सुरक्षा जागरूकता प्रशिक्षण: कर्मचारियों को साइबर सुरक्षा के जोखिमों के बारे में जागरूक करें, विशेष रूप से ओपन-सोर्स पैकेजों के उपयोग से जुड़े खतरों के बारे में।
• एंटरप्राइज-ग्रेड सुरक्षा उपकरण: SAST (Static Application Security Testing) और DAST (Dynamic Application Security Testing) टूल का उपयोग करें जो कोड में कमजोरियों की पहचान कर सकते हैं।
• इनसिडेंट रिस्पांस प्लान: यदि कोई हमला होता है, तो तुरंत प्रतिक्रिया देने के लिए एक स्पष्ट योजना तैयार रखें। इसमें मालवेयर की पहचान, अलगाव, और पुनर्प्राप्ति के चरण शामिल होने चाहिए।

भविष्य के खतरों का पूर्वानुमान: सप्लाई-चेन हमलों का बढ़ता खतरा

इस हमले ने साबित कर दिया है कि ओपन-सोर्स सप्लाई-चेन हमले तेजी से विकसित हो रहे हैं और संगठनों के लिए एक बड़ा खतरा बन गए हैं। आने वाले समय में निम्नलिखित रुझानों की संभावना है:

1. और अधिक परिष्कृत टाइपोस्क्वैटिंग: हैकर्स लोकप्रिय पैकेजों के नामों के करीबी संस्करण बनाकर उपयोगकर्ताओं को धोखा देने का प्रयास करेंगे। उदाहरण के लिए, lodash के बजाय l0adsh जैसे नाम।

2. स्वचालित मालवेयर प्रसार: AI-संचालित टूल्स का उपयोग करके हैकर्स दुर्भावनापूर्ण पैकेजों को और अधिक प्रभावी तरीके से फैला सकते हैं।

3. क्रिप्टो और वित्तीय क्षेत्र पर हमले: चूंकि उत्तर कोरियाई हैकर्स का मुख्य लक्ष्य वित्तीय लाभ है, इसलिए भविष्य में क्रिप्टोकरेंसी, बैंकिंग, और डेफी प्रोटोकॉल्स पर हमले बढ़ सकते हैं।

4. सरकारी नियमों का प्रभाव: जैसे-जैसे सरकारें सॉफ्टवेयर सुरक्षा पर दबाव बढ़ाएंगी, संगठनों को सख्त सुरक्षा मानकों का पालन करना होगा। उदाहरण के लिए, NIST या ISO मानकों का अनुपालन।

निष्कर्ष: सुरक्षा को प्राथमिकता दें, हमलों से बचें

मास्ट्रा AI सप्लाई-चेन हमला एक गंभीर चेतावनी है कि ओपन-सोर्स इकोसिस्टम कितना असुरक्षित हो सकता है। उत्तर कोरियाई हैकर्स द्वारा संचालित इस हमले ने न केवल 140 से अधिक npm पैकेजों को निशाना बनाया, बल्कि यह भी दिखाया कि क्रिप्टोकरेंसी वॉलेट्स और संवेदनशील डेटा किस हद तक जोखिम में हैं।

डेवलपर्स और संगठनों को सक्रिय सुरक्षा उपायों को अपनाना होगा, जैसे:

• पैकेजों की नियमित जांच और सत्यापन
• डेवलपर वातावरण की सुरक्षा बढ़ाना
• सुरक्षा जागरूकता और प्रशिक्षण
• आपातकालीन प्रतिक्रिया योजनाओं का निर्माण

भविष्य में ऐसे हमलों की संख्या बढ़ सकती है, लेकिन सही सुरक्षा उपायों के साथ संगठन खुद को बचा सकते हैं। याद रखें, सुरक्षा कभी भी अंतिम चरण नहीं हो सकती — इसे प्रत्येक चरण में प्राथमिकता दी जानी चाहिए।