پژوهشگران امنیت سایبری از شناسایی مجموعه‌ای متشکل از ۱۰۱ پکیج مخرب npm خبر داده‌اند که با سوءاستفاده از پروژه متن‌باز Baileys واتس‌اپ، توسعه‌دهندگان را بدون اطلاع و رضایت‌شان به گروه‌ها و کانال‌های واتس‌اپی اضافه می‌کنند.
به گزارش افتانا ، این کارزار که PhantomSub نام گرفته، تاکنون نزدیک به ۴۹۰ هزار بار دانلود شده و حدود ۱۱۶ هزار مورد از این دانلودها طی ۳۰ روز گذشته انجام شده است. پژوهشگران شرکت OX Security، شامل Nir Zadok، Moshe Siman Tov Bustan و Vitalii Chepurko، در گزارشی فنی اعلام کردند این پکیج‌ها از Baileys، کتابخانه‌ای متن‌باز برای تعامل برنامه‌ها با واتس‌اپ، سوءاستفاده می‌کنند تا حساب واتس‌اپ قربانی را بدون رضایت او عضو گروه‌ها کنند.
در میان پکیج‌های شناسایی‌شده می‌توان به ourin-baileys، @nexustechpro/baileys، @badzz88/baileys، @ostyado/baileys، levvleys، @vanzxy/baileys، @yudzxml/baileys، @chatunity/baileys، @kelvdra/baileys، neuralwhatsapp، lilys-baileys، @fyxzpediaa/baileys، noxleyss، @xrelly-stack/bails، alipclutch-baileys، kurobails، eliteprotech-baileys، @xayz/baileys، chromestaff-baileys، @sanzoffc/baileys، @sairidev/baileys-new، cloud-baileys، @nyzzpediaa/baileys-new، ishumdz-bail، nishiki-bail، diezyclutch-baileys، oktz-baileys و my-auto-follow اشاره کرد.
بررسی OX Security نشان می‌دهد بدافزار PhantomSub در سه گونه مختلف توزیع شده است. در گونه نخست که ۱۹ پکیج را شامل می‌شود، شناسه کانال‌ها هنگام اجرای برنامه از گیت‌هاب دریافت می‌شوند. در گونه دوم که در ۶۰ پکیج مشاهده شده، شناسه کانال‌ها به‌صورت متن ساده در کد منبع قرار گرفته‌اند. گونه سوم نیز شامل ۱۴ پکیج است که شناسه کانال‌ها را به شکل رمزگذاری‌شده و مبهم‌سازی‌شده در کد خود جاسازی کرده‌اند.
به گفته OX Security، کانال‌های شناسایی‌شده عمدتاً کانال‌های کوچک مرتبط با فروش بات و بازارهای آنلاین هستند و بخش قابل‌توجهی از آن‌ها در اندونزی فعالیت می‌کنند. این کانال‌ها از تعداد دنبال‌کنندگان خود به‌عنوان نوعی اعتبار اجتماعی برای تبلیغ و فروش اسکریپت‌های بات، خدمات ساخت بات، فایل‌های APK پولی و سرویس‌های افزایش تعامل در شبکه‌های اجتماعی استفاده می‌کنند.
پژوهشگران همچنین دریافتند بسیاری از پکیج‌های این کارزار مستقل از یکدیگر نیستند. شناسه‌های یکسان کانال‌ها، فهرست‌های کانال دریافت‌شده از منابع راه دور و حساب‌های گیت‌هاب مشترک در پکیج‌هایی با نام‌ها و ناشران متفاوت مشاهده شده است. برای نمونه، یک کانال با شناسه 120363400911374213@newsletter توسط ۱۰ پکیج مختلف دنبال می‌شود که از جمله آن‌ها @fazzcodestudio/wa-web، @japofc/baileys، @vanzxy/baileys، cloud-baileys، itsmeeaizat-bailey، luoxy-baileys، mikuhostt-baileys، oktz-baileys، ourin-baileys و rafael-bails هستند.
به گفته OX Security، وجود کانال‌های مشترک نشان می‌دهد این پکیج‌ها در بسیاری از موارد به یک ذی‌نفع مشترک متصل هستند؛ زیرا مالک کانال از دنبال‌کنندگانی که هر یک از این پکیج‌ها برای کانال جذب می‌کنند، سود می‌برد. پژوهشگران همچنین مشاهده کرده‌اند که برخی اپراتورها کد یکسان یا تقریباً یکسان را با نام‌های متفاوت منتشر کرده‌اند؛ بنابراین حذف یک نام از npm لزوماً به معنای حذف این بدافزار از اکوسیستم نیست.
کارشناسان امنیتی به توسعه‌دهندگان توصیه کرده‌اند حساب‌های واتس‌اپ خود را برای شناسایی گروه‌ها و کانال‌های ناشناس بررسی کنند و در صورت مشاهده موارد مشکوک، آن‌ها را گزارش و مسدود کنند. همچنین پیشنهاد شده است قوانین شناسایی و مسدودسازی پکیج‌های مخرب Baileys در npm در محیط‌های توسعه فعال شود و از استفاده از پکیج‌هایی که برای عملکرد خود به اتصال حساب‌های شخصی، مانند واتس‌اپ، نیاز دارند، خودداری شود.
نظرات کاربران