Amazon Threat Intelligence ने उत्तर कोरियाई हैकर्स को दुर्भावनापूर्ण npm सप्लाई चेन हमले से जोड़ा
TL;DR
Amazon Threat Intelligence ने उत्तर कोरियाई हैकर्स को दुर्भावनापूर्ण npm सप्लाई चेन हमले से जोड़ा
ओपन-सोर्स जगत के लिए यह एक बड़ी चेतावनी है। Amazon की थ्रेट इंटेलिजेंस टीम ने आधिकारिक तौर पर npm इकोसिस्टम में हुए कई खतरनाक सप्लाई चेन हमलों के पीछे उत्तर कोरिया द्वारा प्रायोजित हैकर्स का हाथ होने की पुष्टि की है। यह कोई सामान्य स्क्रिप्ट-किडी तोड़फोड़ नहीं है; यह एक सोची-समझी, उच्च-स्तरीय मुहिम है जो उन उपकरणों को ही 'ट्रोजन हॉर्स' में बदल देती है जिनका उपयोग डेवलपर्स हर दिन करते हैं।
लोकप्रिय लाइब्रेरीज़ के मेंटेनर्स को निशाना बनाकर, ये हमलावर पारंपरिक फायरवॉल को दरकिनार कर सीधे वैश्विक कॉर्पोरेट बुनियादी ढांचे के केंद्र में पहुंच रहे हैं। यह एक साहसी कदम है जो ओपन-सोर्स लाइफसाइकिल में हमारे द्वारा रखे गए भरोसे का दुरुपयोग करता है।
समझौते का दायरा
इसके पीछे का समूह—जो SAPPHIRE SLEET, STARDUST CHOLLIMA, BlueNoroff, CageyChameleon, और Alluring Pisces जैसे कई नामों से जाना जाता है—छोटे स्तर पर काम नहीं कर रहा है। वे बड़े खिलाड़ियों को निशाना बना रहे हैं।
सबसे चिंताजनक घटना axios लाइब्रेरी से जुड़ी है, जो आधुनिक वेब डेवलपमेंट में एक मुख्य आधार है और जिसे हर हफ्ते 10 करोड़ से अधिक बार डाउनलोड किया जाता है। जब इतना व्यापक पैकेज समझौता होता है, तो इसका प्रभाव असीमित होता है। Amazon ने कई मूलभूत उपकरणों के दूषित होने में उत्तर कोरियाई संबंध की पुष्टि की है, लेकिन सितंबर 2025 में स्थिति चरम पर पहुंच गई थी।
उस दौरान, हमलावरों ने debug और chalk पैकेज को सफलतापूर्वक हैक कर लिया। Secarma के शोध से पता चलता है कि इस विशिष्ट ऑपरेशन ने 18 अलग-अलग पैकेजों में वॉलेट खाली करने वाली स्क्रिप्ट इंजेक्ट की, जिन्हें सामूहिक रूप से प्रति सप्ताह 2 अरब से अधिक बार डाउनलोड किया जाता है।
| समझौता किया गया पैकेज | प्राथमिक प्रभाव | अनुमानित साप्ताहिक डाउनलोड |
|---|---|---|
axios |
बैकडोर/अनधिकृत पहुंच | > 10 करोड़ |
debug |
वॉलेट खाली करने वाली स्क्रिप्ट | महत्वपूर्ण (2 अरब कुल का हिस्सा) |
chalk |
वॉलेट खाली करने वाली स्क्रिप्ट | महत्वपूर्ण (2 अरब कुल का हिस्सा) |
typo-crypto |
दुर्भावनापूर्ण कोड इंजेक्शन | भिन्न |
कार्यप्रणाली: मानवीय पहलू
सर्वर को ब्रूट-फोर्स करने या जटिल C++ कोड में ज़ीरो-डे एक्सप्लॉइट्स खोजने की बात भूल जाइए। इन हमलावरों ने महसूस किया है कि चेन की सबसे कमजोर कड़ी सॉफ्टवेयर नहीं, बल्कि कीबोर्ड के पीछे बैठा इंसान है।
यह समूह सोशल इंजीनियरिंग का भरपूर उपयोग करता है। वे पैकेज मेंटेनर्स को फंसाने के लिए मिलते-जुलते डोमेन बनाते हैं और उन्हें अपने क्रेडेंशियल्स सौंपने के लिए धोखा देते हैं। एक बार जब उनके पास सिस्टम की चाबियाँ आ जाती हैं, तो वे npm रजिस्ट्री में एक "वैध" अपडेट पुश कर देते हैं। चूंकि अपडेट एक विश्वसनीय खाते से आता है, इसलिए यह मानक सुरक्षा फिल्टर को आसानी से पार कर जाता है।
तकनीकी निष्पादन भी उतना ही क्रूर है। वे पोस्ट-इंस्टॉल हुक का उपयोग करते हैं—ऐसी स्क्रिप्ट जो पैकेज इंस्टॉल होते ही सक्रिय हो जाती हैं। इससे हमलावरों को लक्ष्य के वातावरण में तत्काल पहुंच मिल जाती है, अक्सर सुरक्षा टीम को यह पता चलने से पहले ही कि कोई अपडेट हुआ है।
डरावनी बात यह है कि सितंबर 2025 में debug और chalk का समझौता लगभग दस महीनों तक किसी की नज़र में नहीं आया। दस महीनों तक, दुर्भावनापूर्ण कोड चुपचाप वैश्विक स्तर पर प्रोडक्शन वातावरण में फैल रहा था, जो सही समय का इंतज़ार कर रहा था।
ओपन सोर्स सुरक्षा के लिए रणनीतिक निहितार्थ
यह भू-राजनीतिक अभिनेताओं के खेल खेलने के तरीके में एक बदलाव है। सीधे नेटवर्क हमलों से हटकर सॉफ्टवेयर सप्लाई चेन में प्रवेश करके, इन समूहों ने भारी लाभ हासिल किया है। जब आप एक मेंटेनर से समझौता करके एक साथ हजारों डाउनस्ट्रीम एप्लिकेशन को प्रभावित कर सकते हैं, तो एक-एक करके हजारों कंपनियों पर हमला क्यों करें?
npm हाईजैक और उत्तर कोरियाई अभिनेताओं के बीच का संबंध साबित करता है कि ओपन-सोर्स डेवलपमेंट का "डिफ़ॉल्ट रूप से भरोसा" करने वाला मॉडल आधिकारिक तौर पर खत्म हो चुका है। अब हम ज़ीरो-ट्रस्ट युग में हैं। यदि आप थर्ड-पार्टी कोड का उपयोग कर रहे हैं, तो आपको हर अपडेट को एक संभावित खतरे के रूप में देखना होगा।
Amazon रिपोर्ट से स्पष्ट निष्कर्ष ये हैं:
- सोशल इंजीनियरिंग का बोलबाला: मेंटेनर्स को फिशिंग के जरिए फंसाना नई अग्रिम पंक्ति है।
- स्वचालित निष्पादन: पोस्ट-इंस्टॉल हुक पेलोड पहुंचाने का प्राथमिक जरिया हैं।
- निरंतरता ही कुंजी है: ये हमले दिनों नहीं, बल्कि महीनों तक छिपे रहने के लिए डिज़ाइन किए गए हैं।
- राज्य-प्रायोजित इरादा: यह सिर्फ क्रिप्टो चुराने के बारे में नहीं है; यह दीर्घकालिक, अच्छी तरह से वित्त पोषित कॉर्पोरेट जासूसी के बारे में है।
शमन और रक्षात्मक रुख
तो, आप एक ऐसे दुश्मन से कैसे बचाव करते हैं जो पहले से ही गेट के अंदर है? यह मानसिकता में बदलाव के साथ शुरू होता है। संगठनों को डिपेंडेंसी मैनेजमेंट को बाद का काम समझना बंद करना होगा। हालांकि Amazon Inspector जैसे उपकरण ज्ञात कमजोरियों का पता लगाने के लिए महत्वपूर्ण हैं, लेकिन वे कोई जादुई समाधान नहीं हैं।
वास्तव में लचीली सुरक्षा बनाने के लिए, सुरक्षा टीमों को इन पर ध्यान देना चाहिए:
- डिपेंडेंसी पिनिंग: वर्जन रेंज का उपयोग बंद करें। विशिष्ट हैश (hashes) पर पिन करें ताकि आप जान सकें कि आपके पाइपलाइन में कौन सा कोड चल रहा है।
- रजिस्ट्री मॉनिटरिंग: पैकेज मेंटेनर में होने वाले बदलावों पर नज़र रखें। यदि कोई अधिक ट्रैफ़िक वाला पैकेज अचानक हाथ बदलता है, तो यह एक रेड फ्लैग होना चाहिए।
- कोड ऑडिटिंग: यदि कोई डिपेंडेंसी महत्वपूर्ण है, तो उसे अपने कोड की तरह मानें। समय-समय पर इसका ऑडिट करें, खासकर यदि यह संवेदनशील डेटा को संभालता है।
- सैंडबॉक्सिंग: अलग-थलग वातावरण में निर्माण और तैनाती करें। यदि कोई डिपेंडेंसी किसी दुर्भावनापूर्ण कमांड-एंड-कंट्रोल सर्वर से संपर्क करने की कोशिश करती है, तो उसे सैंडबॉक्स में फंस जाना चाहिए जहां वह कोई नुकसान न पहुंचा सके।
सॉफ्टवेयर सप्लाई चेन राज्य-प्रायोजित साइबर युद्ध का प्राथमिक युद्धक्षेत्र बन गया है। जैसे-जैसे ये समूह अपनी रणनीति को परिष्कृत कर रहे हैं और अपने संचालन का विस्तार कर रहे हैं, ओपन-सोर्स इकोसिस्टम की सुरक्षा अब केवल एक "डेवलपर" समस्या नहीं रह गई है—यह वैश्विक डिजिटल बुनियादी ढांचे के लिए एक मौलिक आवश्यकता है। सतर्क रहें, अपनी डिपेंडेंसी पिन करें, और किसी भी अपडेट पर सिर्फ इसलिए भरोसा न करें क्योंकि वह परिचित दिखता है।
