ক্রিপ্টোকারেন্সিকে লক্ষ্য করে জটিল সরবরাহ-শৃঙ্খল হামলায় Axios লাইব্রেরি দখলে নিল উত্তর কোরীয় হ্যাকাররা

জনপ্রিয় কোড রিপোজিটরিতে হামলাকারীদের বিষ ঢোকানোয় ঝুঁকিতে লাখো ডেভেলপার

সন্দেহভাজন উত্তর কোরীয় হ্যাকাররা সাম্প্রতিক সময়ের সবচেয়ে জটিল সরবরাহ-শৃঙ্খল হামলাগুলোর একটি চালিয়েছে। তারা Axios-এ অনুপ্রবেশ করে, যা একটি JavaScript লাইব্রেরি এবং প্রতি সপ্তাহে এটি প্রায় ১০ কোটি বার ডাউনলোড করা হয়। ৩১ মার্চ ভোরে প্রায় তিন ঘণ্টা ধরে চলা এই হামলায় এমন সফটওয়্যারে ক্ষতিকর কোড ঢোকানো হয়, যা স্বাস্থ্যসেবা, অর্থায়ন, ক্রিপ্টোকারেন্সি এক্সচেঞ্জ এবং প্রযুক্তি খাতের হাজারো প্রতিষ্ঠান ব্যবহার করে। নিরাপত্তা গবেষকদের ধারণা, লাইব্রেরিটির ব্যবহারকারীদের প্রায় ৩ শতাংশ বিষাক্ত সংস্করণগুলো ডাউনলোড করেছেন। এতে কয়েক লাখ সিস্টেম দূর থেকে প্রবেশের সুযোগ করে দেয়, এমন ট্রোজানের ঝুঁকিতে পড়ে; এসব ট্রোজান ক্রিপ্টোকারেন্সি ও প্রতিষ্ঠানের লগইন তথ্য চুরির জন্য তৈরি।

Axios হলো প্রতিশ্রুতিনির্ভর HTTP ক্লায়েন্ট, যা Node.js ও ব্রাউজার—উভয় ক্ষেত্র থেকেই অ্যাসিনক্রোনাস API অনুরোধ করতে সহায়তা করে। ফলে আধুনিক ওয়েব অ্যাপ্লিকেশনের এটি একটি মৌলিক উপাদান। স্বাস্থ্যসেবা প্রদানকারী থেকে শুরু করে আর্থিক প্রতিষ্ঠান পর্যন্ত নানা ধরনের কোম্পানি ওয়েবসাইট তৈরি ও তথ্য বিনিময় সহজ করতে এই লাইব্রেরির ওপর নির্ভর করে। ডিজিটাল সম্পদ খাতে সক্রিয় কিছু ক্রিপ্টোকারেন্সি প্রতিষ্ঠান ও প্রযুক্তি কোম্পানিও সফটওয়্যারটি ব্যবহার করে, ফলে পিয়ংইয়ংয়ের রাজস্ব-উপার্জনকারী সাইবার অভিযানের কাছে তারা বিশেষ আকর্ষণীয় লক্ষ্য। বিভিন্ন প্রতিষ্ঠানে Axios-এর ব্যাপক ব্যবহার সরবরাহ-শৃঙ্খলের পরবর্তী ধাপের নির্ভরশীলতা ও সমন্বিত পরিষেবাগুলোর জন্য ঝুঁকির পর ঝুঁকি তৈরি করছে।

গুগলের Threat Intelligence Group আনুষ্ঠানিকভাবে এই ঘটনার জন্য UNC1069-কে দায়ী করেছে। আর্থিক উদ্দেশ্যপ্রণোদিত উত্তর কোরীয় এই হুমকি-গোষ্ঠী অন্তত ২০১৮ সাল থেকে সক্রিয়। পিয়ংইয়ংয়ের পারমাণবিক ও ক্ষেপণাস্ত্র কর্মসূচিতে অর্থ জোগাতে ক্রিপ্টোকারেন্সি এক্সচেঞ্জ, বিকেন্দ্রীভূত অর্থায়ন প্ল্যাটফর্ম এবং ভেঞ্চার ক্যাপিটাল প্রতিষ্ঠানকে লক্ষ্যবস্তু করার জন্য গোষ্ঠীটি পরিচিতি পেয়েছে। গুগলের মালিকানাধীন গোয়েন্দা সংস্থা Mandiant-এর ভাষ্য অনুযায়ী, উচ্চমূল্যের অর্থনৈতিক লক্ষ্যবস্তুর বিরুদ্ধে বৈশ্বিক সফটওয়্যার সরবরাহ-শৃঙ্খলকে অস্ত্র হিসেবে ব্যবহারের উত্তর কোরীয় অভিযানের এটি সর্বশেষ বিস্তার।

দীর্ঘমেয়াদি হুমকির বিষয়টি ব্যাখ্যা করেছেন Mandiant-এর প্রধান প্রযুক্তি কর্মকর্তা চার্লস কারমাকাল।

আমরা ধারণা করছি, সম্প্রতি এই সফটওয়্যার সরবরাহ-শৃঙ্খল হামলায় পাওয়া লগইন তথ্য ও সিস্টেমে প্রবেশাধিকার ব্যবহার করে তারা প্রতিষ্ঠানগুলোকে লক্ষ্যবস্তু করবে এবং ক্রিপ্টোকারেন্সি চুরি করবে। এই অভিযানের পরবর্তী ধাপের প্রভাব মূল্যায়ন করতে সম্ভবত কয়েক মাস লাগবে।

Huntress-এর নিরাপত্তা গবেষক জন হ্যামন্ড জানিয়েছেন, তাঁর প্রতিষ্ঠান ইতিমধ্যে প্রায় ১২টি কোম্পানির প্রায় ১৩৫টি আক্রান্ত ডিভাইস শনাক্ত করেছে। তবে বিভিন্ন প্রতিষ্ঠান ফরেনসিক নিরীক্ষা শেষ করলে আরও আক্রান্ত ডিভাইস শনাক্ত হবে বলে তিনি মনে করেন; এখন পর্যন্ত পাওয়া সংখ্যাটি কেবল প্রাথমিক পর্যায়ের ফল।

সরবরাহ-শৃঙ্খলে অনুপ্রবেশের কৌশল

Axios লাইব্রেরির প্রধান রক্ষণাবেক্ষণকারী @jasonsaayman-এর npm অ্যাকাউন্টের নিয়ন্ত্রণ দখলের মধ্য দিয়ে হামলার শুরু। অত্যাধুনিক জিরো-ডে দুর্বলতা কাজে না লাগিয়ে হামলাকারীরা দীর্ঘদিনের একটি অ্যাক্সেস টোকেন ব্যবহার করে OpenID Connect-ভিত্তিক প্রমাণীকরণ কর্মপ্রবাহসহ আধুনিক নিরাপত্তা নিয়ন্ত্রণ এড়িয়ে যায়। এর মাধ্যমে তারা Node Package Manager রেজিস্ট্রিতে সরাসরি সফটওয়্যারটির ট্রোজানযুক্ত 1.14.1 ও 0.30.4 সংস্করণ প্রকাশ করে। এতে প্রচলিত নিরাপত্তা সতর্কতা সক্রিয় হয়নি, আবার বহু-ধাপের প্রমাণীকরণেরও প্রয়োজন পড়েনি।

হামলাটি সম্ভব করে তোলা একটি গুরুত্বপূর্ণ কনফিগারেশন ত্রুটির কথা উল্লেখ করেছেন হ্যামন্ড। v1.x শাখায় OIDC Trusted Publishing কনফিগার করা থাকলেও, প্রকাশনা কর্মপ্রবাহে OIDC লগইন তথ্যের পাশাপাশি NPM_TOKEN পরিবেশগত ভেরিয়েবল হিসেবে পাঠানো হচ্ছিল। দুটোই থাকলে npm টোকেনটিই ব্যবহার করে। অর্থাৎ, OIDC কনফিগারেশন যা-ই হোক, সব প্রকাশকের জন্য দীর্ঘস্থায়ী টোকেনটিই কার্যত প্রমাণীকরণের মাধ্যম ছিল। এই কাঠামোগত ত্রুটির কারণে রক্ষণাবেক্ষণকারী অ্যাকাউন্টে বহু-ধাপের প্রমাণীকরণ চালু রাখলেও হামলাকারীরা সুরক্ষাব্যবস্থা এড়াতে পেরেছে। এতে বোঝা যায়, পুরোনো প্রমাণীকরণ পদ্ধতি কীভাবে আধুনিক নিরাপত্তা কাঠামোকে দুর্বল করে দিতে পারে।

হামলাকারীরা সতর্ক প্রস্তুতি ও ধৈর্যের পরিচয় দিয়েছে। মূল হামলার ১৮ ঘণ্টা আগে তারা plain-crypto-js নামে একটি ভুয়া নির্ভরশীল প্যাকেজের পরিচ্ছন্ন সংস্করণ প্রকাশ করে। এর উদ্দেশ্য ছিল প্যাকেজটির প্রকাশনার ইতিহাস তৈরি করা, যাতে নতুন অ্যাকাউন্ট বলে সন্দেহ না হয়। Axios-এর প্রথম ক্ষতিকর সংস্করণ প্রকাশের ২০ মিনিট আগে তারা এই নির্ভরশীল প্যাকেজটির অস্ত্রসজ্জিত সংস্করণ প্রকাশ করে। এতে একটি পোস্ট-ইনস্টলেশন স্ক্রিপ্ট ছিল, যা ডেভেলপাররা আক্রান্ত লাইব্রেরি ইনস্টল বা আপডেট করলে স্বয়ংক্রিয়ভাবে চলত। এর মাত্র ৩৯ মিনিট পর দ্বিতীয় ব্যাকডোরযুক্ত সংস্করণটি প্রকাশ করা হয়। এতে বোঝা যায়, সুযোগের স্বল্প সময়ের মধ্যে বিতরণ সর্বোচ্চ পর্যায়ে নিতে গোষ্ঠীটি তাদের প্রকাশনা প্রক্রিয়া স্বয়ংক্রিয় করেছিল।

হামলার সময় নিয়ন্ত্রণ ফিরে পেতে রক্ষণাবেক্ষণকারীদের বড় ধরনের সমস্যায় পড়তে হয়। GitHub-এর একটি প্রকাশ্য ইস্যুতে এক সহযোগী জানান, ক্ষতিকর সংস্করণ প্রকাশের জন্য দায়ী অ্যাকাউন্টটির প্রবেশাধিকার তাঁরা বাতিল করতে পারছেন না, কারণ হামলাকারীর অনুমতি তাঁদের নিজেদের চেয়েও বেশি। এতে সময়ের বিরুদ্ধে প্রতিযোগিতা শুরু হয়: হ্যাকারদের হাতে প্রকাশনার অধিকার ছিল, আর ডেভেলপার কমিউনিটি ক্ষয়ক্ষতি ঠেকাতে তৎপর ছিল। NPM প্রাথমিক প্রকাশনার তিন ঘণ্টা পর ক্ষতিকর সংস্করণগুলো প্রত্যাহার করে এবং plain-crypto-js প্যাকেজে নিরাপত্তাজনিত স্থগিতাদেশ দেয়। এক ঘণ্টা পর প্যাকেজটির জায়গায় নিরাপত্তা-ধারকের একটি বিকল্প প্যাকেজ বসানো হয়।

বিভিন্ন প্ল্যাটফর্মে স্থায়ী ব্যাকডোর ছড়িয়েছে ম্যালওয়্যার

ইনস্টল হওয়ার পর ক্ষতিকর নির্ভরশীল প্যাকেজটি SILKBELL নামে অস্পষ্টীকৃত JavaScript ড্রপার চালু করে। এটি sfrclak.com-এ থাকা দূরবর্তী কমান্ড-অ্যান্ড-কন্ট্রোল সার্ভার থেকে প্ল্যাটফর্মভিত্তিক পেলোড সংগ্রহ করে। Windows সিস্টেমে ম্যালওয়্যারটি PowerShell-ভিত্তিক টুল পাঠায়, যা ইচ্ছামতো কমান্ড চালাতে সক্ষম। macOS ব্যবহারকারীরা পেয়েছেন একটি C++ Mach-O বাইনারি, আর Linux ইনস্টলেশনকে লক্ষ্য করা হয়েছে Python ব্যাকডোর দিয়ে। নিরাপত্তা গবেষকেরা দ্বিতীয় ধাপের এই ম্যালওয়্যারকে WAVESHAPER.V2 হিসেবে শনাক্ত করেছেন। এটি এমন একটি ব্যাকডোরের উন্নত সংস্করণ, যা ২০২৩ সাল থেকে ক্রিপ্টোকারেন্সি খাতের হামলায় UNC1069-এর সঙ্গে সম্পর্কিত বলে জানা গেছে।

হামলার প্রযুক্তিগত কাঠামোতে পরিকল্পিত গোপনীয়তা ও বিভিন্ন প্ল্যাটফর্ম সম্পর্কে সচেতনতার প্রমাণ মেলে। Axios-এর সোর্স কোড সরাসরি পরিবর্তন করলে তা প্রকাশ্য রিপোজিটরিতে দেখা যেত এবং কোড পর্যালোচনার সতর্কতা জারি হতো। সে পথে না গিয়ে হ্যাকাররা নির্ভরশীল প্যাকেজের ধারাবাহিকতার মধ্য দিয়ে ক্ষতিকর কার্যক্রম ঢুকিয়েছে। StepSecurity-এর গবেষকেরা জানিয়েছেন, axios-এর ভেতরে ক্ষতিকর কোডের একটি লাইনও নেই, আর এ কারণেই হামলাটি এত বিপজ্জনক। plain-crypto-js প্যাকেজটি তার package.json ফাইলে থাকা postinstall হুকের মাধ্যমে চলেছে। ফলে ইনস্টলেশনের সময় ম্যালওয়্যারটি নীরবে সক্রিয় হতে পেরেছে; পরে নিজের ফাইল মুছে প্যাকেজের মেটাডেটার জায়গায় পরিচ্ছন্ন সংস্করণ বসিয়েছে।

WAVESHAPER.V2 প্রতি ৬০ সেকেন্ডে তার কমান্ড-অ্যান্ড-কন্ট্রোল অবকাঠামোতে সংকেত পাঠায় এবং কমান্ড-লাইন আর্গুমেন্টের মাধ্যমে পরিবর্তনশীল C2 URL গ্রহণ করে। এই নকশার ফলে ম্যালওয়্যার নতুন করে ছড়ানো ছাড়াই হামলাকারীরা অবকাঠামো বদলাতে পারে। ব্যাকডোরটির চারটি প্রধান কাজ রয়েছে: চলমান প্রক্রিয়া বন্ধ করা, সময়চিহ্ন ও ফাইলের আকারসহ বিস্তারিত মেটাডেটা নিয়ে ডিরেক্টরির তালিকা তৈরি করা, macOS-এ AppleScript বা Linux-এ শেল কমান্ডের মতো নিজস্ব স্ক্রিপ্টিং ভাষা দিয়ে সিস্টেম কমান্ড চালানো এবং চলমান প্রক্রিয়ায় ইচ্ছামতো বাইনারি প্রবেশ করানো। Elastic Security Labs-এর বিশ্লেষণে দেখা গেছে, macOS বাইনারিতে ডেভেলপারদের বিল্ড পাথের উল্লেখ রয়েছে, যা আগের RustBucket ও Hidden Risk ম্যালওয়্যার অভিযানে ব্যবহৃত BlueNoroff-এর webT মডিউলের সঙ্গে সরাসরি সম্পর্কিত। এতে উত্তর কোরিয়ার সম্পৃক্ততার ধারণা আরও জোরালো হয়েছে।

পিয়ংইয়ংয়ের ডিজিটাল আয়ের যন্ত্র

উত্তর কোরিয়ার হ্যাকিং অভিযান দেশটির নিষেধাজ্ঞার আওতায় থাকা পারমাণবিক অস্ত্র কর্মসূচির অর্থায়নের প্রধান মাধ্যম হয়ে উঠেছে। ২০২৩ সালে প্রকাশিত জাতিসংঘের প্রতিবেদন ও হোয়াইট হাউসের হিসাব অনুযায়ী, পিয়ংইয়ংয়ের ক্ষেপণাস্ত্র উন্নয়নে ব্যবহৃত অর্থের প্রায় অর্ধেক আসে সাইবার চুরি থেকে। সাম্প্রতিক বছরগুলোতে হ্যাকাররা ব্যাংক ও ক্রিপ্টোকারেন্সি প্রতিষ্ঠান থেকে শত শত কোটি ডলার চুরি করেছে। শুধু গত বছরই উত্তর কোরীয় অপারেটররা একক রেকর্ড গড়া চুরিতে ১৫০ কোটি ডলারের ক্রিপ্টোকারেন্সি চুরি করেছে, যা বড় লক্ষ্যবস্তুতে ব্যাপকভাবে অনুপ্রবেশের তাদের সক্ষমতা দেখায়।

Wiz-এর কৌশলগত হুমকি গোয়েন্দা বিভাগের পরিচালক বেন রিড ব্যাখ্যা করেছেন, অন্য রাষ্ট্র-সমর্থিত হ্যাকার গোষ্ঠীর চেয়ে উত্তর কোরিয়ার কার্যক্রম আলাদা।

সুনাম নিয়ে উত্তর কোরিয়ার মাথাব্যথা নেই, আর শেষ পর্যন্ত তাদের শনাক্ত করা হবে কি না, সেটিও তাদের উদ্বেগের বিষয় নয়। তাই এ ধরনের অভিযান খুব দৃশ্যমান ও আলোচিত হলেও, সেই মূল্য দিতে তারা রাজি।

এই ঝুঁকি নেওয়ার মানসিকতার কারণেই পিয়ংইয়ং এমন প্রকাশ্য সরবরাহ-শৃঙ্খল হামলা চালাতে পারে, যা কূটনৈতিক প্রতিক্রিয়া বা দায় নির্ধারণের আশঙ্কায় অন্য দেশগুলো এড়িয়ে যেতে পারে। Axios-এ এই অনুপ্রবেশ তিন বছর আগের একটি ঘটনার ধারাবাহিকতা। সে সময় উত্তর কোরীয় অপারেটররা 3CX-এ অনুপ্রবেশ করেছিল বলে অভিযোগ রয়েছে। প্রতিষ্ঠানটি স্বাস্থ্যসেবা সংস্থা ও হোটেল চেইনে ভয়েস ও ভিডিও কলের সফটওয়্যার সরবরাহ করে।

Google Threat Intelligence Group-এর প্রধান বিশ্লেষক জন হাল্টকুইস্ট ডিজিটাল সম্পদের প্রতি গোষ্ঠীটির বিশেষ মনোযোগের ওপর জোর দিয়েছেন।

সরবরাহ-শৃঙ্খলে হামলার ব্যাপারে উত্তর কোরীয় হ্যাকারদের গভীর অভিজ্ঞতা রয়েছে; অতীতে তারা এসব হামলা ব্যবহার করে ক্রিপ্টোকারেন্সি চুরি করেছে। এই ঘটনার সম্পূর্ণ ব্যাপ্তি এখনো স্পষ্ট নয়, তবে আক্রান্ত প্যাকেজটির জনপ্রিয়তা বিবেচনায় আমরা ব্যাপক প্রভাবের আশঙ্কা করছি।

UNC1069 এর আগে ভুয়া Zoom মিটিং, সামাজিক প্রকৌশল কৌশল এবং একাধিক স্বতন্ত্র ম্যালওয়্যার পরিবার ব্যবহার করে আর্থিক প্রযুক্তি প্রতিষ্ঠানকে লক্ষ্যবস্তু করেছে। এতে ক্রিপ্টোকারেন্সি ব্যবস্থার প্রতি তাদের স্থায়ী ও ক্রমবর্ধমান আগ্রহের প্রমাণ মেলে।

সরবরাহ-শৃঙ্খলের দুর্বলতায় একের পর এক ঝুঁকি

ওপেন-সোর্স সফটওয়্যার ব্যবস্থাকে লক্ষ্য করে সরবরাহ-শৃঙ্খল হামলার উদ্বেগজনক বৃদ্ধি দেখা যাচ্ছে। Axios-এ হামলার আগের মাসেই নিরাপত্তা দলগুলো ধারাবাহিক কয়েকটি অনুপ্রবেশ মোকাবিলা করেছে। এর মধ্যে রয়েছে জনপ্রিয় নিরাপত্তা স্ক্যানিং টুল Trivy, AI মডেল সমন্বয়ে বহুল ব্যবহৃত Python লাইব্রেরি LiteLLM এবং যোগাযোগ প্ল্যাটফর্ম Telnyx-এ হামলা। সাম্প্রতিক TeamPCP সরবরাহ-শৃঙ্খল সমস্যার সঙ্গে Axios-এ হামলার কোনো সম্পর্ক নেই বলে Google নিশ্চিত করেছে। তবু প্রতিটি সফল অনুপ্রবেশ হামলাকারীদের নতুন লগইন তথ্য ও অন্য রিপোজিটরিতে প্রাথমিক প্রবেশাধিকার দেয়, যা নিজে থেকেই চলতে থাকা অনুপ্রবেশের চক্র তৈরি করে।

সাম্প্রতিক ধারাবাহিক হামলায় বিপুল পরিমাণ চুরি করা গোপন তথ্য জমা হয়েছে বলে সতর্ক করেছেন কারমাকাল। তিনি ব্যাখ্যা করেন, গত দুই সপ্তাহে চুরি হওয়া গোপন তথ্য আগামী কয়েক দিন, সপ্তাহ ও মাসে আরও সফটওয়্যার সরবরাহ-শৃঙ্খল হামলা, সফটওয়্যার-অ্যাজ-এ-সার্ভিস পরিবেশে অনুপ্রবেশের মাধ্যমে পরবর্তী ধাপের গ্রাহকদের ওপর হামলা, র‍্যানসমওয়্যার ও চাঁদাবাজির ঘটনা এবং ক্রিপ্টোকারেন্সি চুরিতে সহায়তা করবে। তাঁর ভাষ্য, কয়েক লাখ চুরি হওয়া লগইন তথ্যের বিষয়ে তারা জানেন। বিভিন্ন উদ্দেশ্যের নানা ধরনের গোষ্ঠী এসব হামলার পেছনে রয়েছে। গতকালের axios npm সরবরাহ-শৃঙ্খল হামলার প্রভাবের পরিধি বিস্তৃত এবং এর ওপর নির্ভরশীল অন্য জনপ্রিয় প্যাকেজগুলোতেও তা ছড়িয়েছে।

SentinelOne-এর জ্যেষ্ঠ গবেষক টম হেগেল হুমকিটির অদৃশ্য প্রকৃতির ওপর জোর দিয়েছেন।

আপনি যখনই কোনো ওয়েবসাইট খোলেন, ব্যাংক অ্যাকাউন্টের ব্যালেন্স দেখেন কিংবা ফোনে কোনো অ্যাপ চালু করেন, তখন পেছনে কোথাও Axios চলার এবং সেই কাজটি সম্ভব করার ভালো সম্ভাবনা রয়েছে। আপনাকে কিছুতে ক্লিক করতে হয় না বা ভুল করতে হয় না। আপনি যে সফটওয়্যারকে আগে থেকেই বিশ্বাস করেন, সেটিই আপনার হয়ে কাজটি করে দিয়েছে।

এই মন্তব্যে বোঝা যায়, সরবরাহ-শৃঙ্খলে হামলাকারীরা পরিচিত সফটওয়্যার উপাদানের ওপর ব্যবহারকারীদের স্বাভাবিক আস্থার সুযোগ নেয়। এতে প্রচলিত নিরাপত্তা-সচেতনতা প্রশিক্ষণ ও এন্ডপয়েন্ট সুরক্ষা এড়িয়ে যাওয়া সম্ভব হয়।

শনাক্তকরণ এড়ানোর কৌশল ও ফরেনসিক প্রতিরোধ

ঘটনা মোকাবিলা ও শনাক্তকরণ কঠিন করে তুলতে হামলাকারীরা অত্যাধুনিক ফরেনসিক-বিরোধী ব্যবস্থা নিয়েছিল। সক্রিয় হওয়ার পর ম্যালওয়্যারটি নিজের ইনস্টলেশন ফাইল মুছে ফেলার পাশাপাশি সংস্করণসংক্রান্ত তথ্যও বদলে দেয়, যাতে নিরাপত্তা দল বিভ্রান্ত হয়। ক্ষতিকর plain-crypto-js প্যাকেজটি নিজেকে 4.2.1 নয়, 4.2.0 সংস্করণ বলে জানায়। প্যাকেজের অখণ্ডতা যাচাই করতে গিয়ে নিরাপত্তা দলগুলোকে বিভ্রান্ত করাই ছিল এর উদ্দেশ্য। সংস্করণ জালিয়াতির এই কৌশলের মাধ্যমে প্রশাসকদের বিশ্বাস করানোর চেষ্টা করা হয় যে তাদের সিস্টেমে বৈধ সফটওয়্যার চলছে, অথচ তারা আসলে আক্রান্ত সংস্করণটি ইনস্টল করেছিলেন।

ReversingLabs-এর প্রধান সফটওয়্যার স্থপতি টমিস্লাভ পেরিচিন এই হামলাকে বিচ্ছিন্ন ঘটনা নয়, ভবিষ্যৎ অভিযানের নকশা হিসেবে বর্ণনা করেছেন।

এখানে নথিভুক্ত কার্যক্রমের জটিলতা—রক্ষণাবেক্ষণকারীর লগইন তথ্য দখল, তিনটি অপারেটিং সিস্টেমের জন্য আগে থেকে তৈরি পেলোড, ৪০ মিনিটেরও কম সময়ে দুই প্রকাশনা শাখায় হামলা এবং ফরেনসিক চিহ্ন মুছে ফেলার অন্তর্নির্মিত ব্যবস্থা—দেখায় যে হুমকি-গোষ্ঠীটি এটিকে বড় পরিসরে চালানোর মতো অভিযান হিসেবে পরিকল্পনা করেছিল। এখন যদি PyPI ও NuGet-এও এই অভিযান দেখা যায়, তাহলে তা হামলার কৌশল থেকে পাওয়া ধারণার সঙ্গেই মেলে: লক্ষ্য ছিল যত বেশি সম্ভব ডেভেলপারের কাছে পৌঁছানো।

প্রতিষ্ঠানগুলোকে এখন শুধু npm নির্ভরশীলতা নয়, তাদের বিল্ড প্রক্রিয়ায় ব্যবহৃত প্রতিটি প্যাকেজ ম্যানেজারও নিরীক্ষা করতে হবে। স্বয়ংক্রিয়তার দিকে বর্তমান উন্নয়ন প্রবণতার কারণে হামলার সময়টি বিশেষ উদ্বেগজনক বলে উল্লেখ করেছেন হ্যামন্ড। তাঁর মতে, কোনো পর্যালোচনা বা সুরক্ষাব্যবস্থা ছাড়াই বিভিন্ন প্রতিষ্ঠানে সফটওয়্যার তৈরি করা AI এজেন্টের দ্রুত প্রসারের সময়টিতে হামলাটি একেবারে উপযুক্ত সময়ে হয়েছে। সরাসরি Axios ব্যবহারকারীদের বাইরেও ঝুঁকি ছড়ায়, কারণ অনেক প্রতিষ্ঠানের ডেভেলপমেন্ট টুল স্বয়ংক্রিয়ভাবে নির্ভরশীল প্যাকেজ সংগ্রহ করে। Semgrep-এর প্রতিষ্ঠাতা আইজ্যাক ইভান্স উল্লেখ করেছেন, সংস্করণ নির্দিষ্ট করে রাখা, লকফাইল সংরক্ষণ এবং প্রচলিত পরিচ্ছন্নতার নিয়ম মানা ডেভেলপাররাও আক্রান্ত হতে পারেন; কারণ তাদের সমন্বিত ডেভেলপমেন্ট পরিবেশ নেপথ্যে নির্ভরশীল প্যাকেজটি সংগ্রহ করেছে।

সফটওয়্যার সরবরাহ-শৃঙ্খল সুরক্ষা

বিভিন্ন খাতের নিরাপত্তা দল এখন ঝুঁকি নির্ধারণ ও আক্রান্ত সিস্টেম পুনরুদ্ধারে ব্যস্ত। Axios ব্যবহারকারী প্রতিষ্ঠানগুলোকে অবিলম্বে নির্ভরশীলতার তালিকা পরীক্ষা করে 1.14.1 ও 0.30.4 সংস্করণ খুঁজতে হবে, 1.14.0 বা 0.30.3-এর মতো যাচাইকৃত নিরাপদ সংস্করণে ফিরতে হবে এবং ইনস্টলেশনের সময়সীমায় যেসব লগইন তথ্য ব্যবহারের সুযোগ ছিল, সেগুলোর সব পরিবর্তন করতে হবে। সংক্রমণের প্রযুক্তিগত লক্ষণগুলোর মধ্যে রয়েছে node_modules ডিরেক্টরিতে plain-crypto-js থাকা, sfrclak.com-এর সঙ্গে নেটওয়ার্ক সংযোগ (IP ঠিকানা 142.11.206.73) এবং macOS সিস্টেমে /Library/Caches/com.apple.act.mond-এর মতো অস্থায়ী ডিরেক্টরিতে সন্দেহজনক প্রক্রিয়া।

তাৎক্ষণিক প্রশমন ব্যবস্থার মধ্যে রয়েছে package-lock.json ফাইলে Axios-এর পরিচিত নিরাপদ সংস্করণ নির্দিষ্ট করে রাখা, যাতে ভুলবশত আপডেট না হয়; ক্ষতিকর নির্ভরশীল প্যাকেজটি আছে কি না পরীক্ষা করা; শনাক্ত ক্ষতিকর প্রক্রিয়া বন্ধ করা; নেটওয়ার্কের প্রবেশসীমায় চিহ্নিত কমান্ড-অ্যান্ড-কন্ট্রোল ডোমেইন ব্লক করা; আক্রান্ত সিস্টেমকে উৎপাদন নেটওয়ার্ক থেকে বিচ্ছিন্ন করা; এবং অনুপ্রবেশের সময় যেসব গোপন তথ্য ও লগইন তথ্য ফাঁস হয়ে থাকতে পারে, সেগুলো পরিবর্তন করা। ম্যালওয়্যার সংগ্রহ করে থাকতে পারে—এমন API কী বা সার্ভিস অ্যাকাউন্টের অননুমোদিত ব্যবহার হয়েছে কি না, তা জানতে প্রতিষ্ঠানগুলোর অ্যাক্সেস লগও পর্যালোচনা করা উচিত।

Sonatype-এর ফিল্ড CTO ইল্কা তুরুনেন এই ঘটনা সফটওয়্যারের ওপর মৌলিক আস্থার যে সমস্যা তুলে ধরেছে, তার ওপর জোর দিয়েছেন। তাঁর ব্যাখ্যা, এই হামলা দেখায় যে হ্যাকাররা এখন কোডের ভেতরের বিষয়ের চেয়ে কোডের ওপর মানুষের আস্থাকে কাজে লাগাচ্ছে। ধাপে ধাপে ঢোকানো একটি নির্ভরশীল প্যাকেজের মাধ্যমে ক্ষতিকর সক্ষমতা যুক্ত করা হয়েছিল এবং সেটিকে নিজের চিহ্ন মুছে ফেলার জন্য তৈরি করা হয়েছিল। ফলে হামলাটি শনাক্ত করা কঠিন এবং এর প্রকৃতি বুঝতে বেশি সময় লেগেছে। এটি শুধু ম্যালওয়্যার নয়; আরও পরিকল্পিত ও পরিণত কৌশলের পরিচায়ক। Kaseya-র নিরাপত্তা বিভাগের কর্মকর্তা মাইক পুগলিয়া উল্লেখ করেছেন, এসব ঘটনা বিশ্বজুড়ে সফটওয়্যার ব্যবস্থার ভঙ্গুরতার আরও প্রমাণ। একটি অ্যাকাউন্ট দখল করলেই কয়েক ঘণ্টার মধ্যে কয়েক দশ হাজার প্রতিষ্ঠান ঝুঁকিতে পড়তে পারে।

মূল বিষয়গুলো

• প্রতি সপ্তাহে ১০ কোটি বার ডাউনলোড হওয়া এবং প্রায় ৮০ শতাংশ ক্লাউড পরিবেশে থাকা Axios JavaScript লাইব্রেরিতে উত্তর কোরীয় হুমকি-গোষ্ঠী UNC1069 অনুপ্রবেশ করেছে
• ক্ষতিকর 1.14.1 ও 0.30.4 সংস্করণ ৩১ মার্চ প্রায় তিন ঘণ্টা উন্মুক্ত ছিল; ব্যবহারকারীদের প্রায় ৩ শতাংশ এগুলো ডাউনলোড করেছেন, যা সম্ভাব্য ৬ লাখ ডাউনলোডের সমান
• plain-crypto-js নামের একটি ভুয়া নির্ভরশীল প্যাকেজ ব্যবহার করে WAVESHAPER.V2 ছড়ানো হয়েছে; এই ব্যাকডোর Windows, macOS ও Linux সিস্টেমে সংক্রমণ ঘটাতে পারে
• Google Mandiant-এর ধারণা, চুরি করা লগইন তথ্য ব্যবহার করে গোষ্ঠীটি দীর্ঘমেয়াদি ক্রিপ্টোকারেন্সি চুরির অভিযান চালাবে, যার অর্থ যাবে উত্তর কোরিয়ার পারমাণবিক ও ক্ষেপণাস্ত্র কর্মসূচিতে
• ম্যালওয়্যারটিতে আত্ম-অপসারণ ও সংস্করণ জালিয়াতিসহ উন্নত ফরেনসিক-বিরোধী সক্ষমতা ছিল; শনাক্তকরণ এড়াতে এটি নিজেকে 4.2.1-এর পরিবর্তে 4.2.0 সংস্করণ বলে জানাত
• প্রতিষ্ঠানগুলোকে অবিলম্বে নির্ভরশীলতার তালিকা নিরীক্ষা, সব লগইন তথ্য পরিবর্তন, C2 ডোমেইন sfrclak.com ও IP 142.11.206.73 ব্লক এবং Axios-এর নিরাপদ সংস্করণে ফিরে যেতে হবে
• দীর্ঘস্থায়ী অ্যাক্সেস টোকেনের মাধ্যমে OIDC প্রমাণীকরণ নিয়ন্ত্রণ এড়িয়ে অনুপ্রবেশ করা হয়েছে; এতে পুরোনো লগইন তথ্য সরিয়ে ফেলার প্রয়োজনীয়তা স্পষ্ট হয়েছে