- উচ্চ-প্রোফাইল লাইব্রেরি যেমন অ্যাক্সিওস এবং মাস্ট্রা হাইজ্যাক করা মেইনটেইনার অ্যাকাউন্টের মাধ্যমে তথ্য ফাঁস হয়েছিল, যা প্রতি সপ্তাহে লক্ষ লক্ষ ডাউনলোডকে প্রভাবিত করেছিল।
- আক্রমণকারীরা অত্যাধুনিক কৌশল ব্যবহার করেছিল পোস্ট-ইনস্টল হুক ক্রস-প্ল্যাটফর্ম ব্যাকডোর সরবরাহ করতে এবং ডেভেলপার পরিবেশ থেকে সংবেদনশীল ক্রেডেনশিয়াল চুরি করতে।
- হুমকি সৃষ্টিকারী ব্যক্তিরা, যাদের সাথে যুক্ত রয়েছে উত্তর কোরিয়ার গোষ্ঠীগুলিসফটওয়্যারের ত্রুটি খোঁজার পরিবর্তে, তারা ক্রমবর্ধমানভাবে ওপেন-সোর্স নির্ভরতার ওপর থাকা বিশ্বাসকে কাজে লাগাচ্ছে।
- নিরাপত্তা বিশেষজ্ঞরা সুপারিশ করেন লাইফসাইকেল স্ক্রিপ্ট নিষ্ক্রিয় করা এবং বিষাক্ত প্যাকেজের প্রভাব প্রশমিত করার জন্য কঠোর নেটওয়ার্ক বহির্গমন নিয়ন্ত্রণ বাস্তবায়ন করা।
ডেভেলপাররা কঠিন অভিজ্ঞতার মাধ্যমে জানতে পারছেন যে আধুনিক উন্নয়ন ভূদৃশ্য প্রযুক্তি জগৎ ক্রমশ এমন এক মাইনফিল্ডে পরিণত হচ্ছে, যেখানে একটিমাত্র ভুলে যাওয়া পাসওয়ার্ড হাজার হাজার প্রজেক্টকে ঝুঁকির মুখে ফেলতে পারে। সম্প্রতি প্রযুক্তি জগতে সাপ্লাই চেইন সংক্রান্ত ঘটনার ব্যাপক বৃদ্ধি দেখা গেছে, যা প্রমাণ করে যে একজন ডেভেলপারের সবচেয়ে বিশ্বস্ত টুলগুলোও কয়েক মিনিটের মধ্যে তার বিরুদ্ধেই ব্যবহৃত হতে পারে এবং অনেক দেরি হয়ে যাওয়ার আগে পর্যন্ত কেউ তা টেরই পায় না।
বর্তমান তথ্য থেকে বোঝা যাচ্ছে যে হ্যাকারদের কার্যপদ্ধতিতে একটি মৌলিক পরিবর্তন আসছে, কারণ তারা প্রচলিত এক্সপ্লয়েট থেকে সরে এসে অন্য দিকে মনোযোগ দিচ্ছে। সরবরাহ চেইন নিরাপত্তাnpm-এর মতো জনপ্রিয় প্ল্যাটফর্মগুলোর ইকোসিস্টেমে অনুপ্রবেশ করে আক্রমণকারীরা একই সাথে লক্ষ লক্ষ সিস্টেমে ক্ষতিকারক কোড ছড়িয়ে দিতে পারে, যার ফলে বৈধ সফটওয়্যার আপডেটগুলো উচ্চ-স্তরের ম্যালওয়্যার এবং ডেটা চুরির টুল বিতরণের একটি মাধ্যমে পরিণত হয়।
মাস্ট্রা ইকোসিস্টেম এবং লিঙ্কডইন ফিশিং ট্র্যাপ
২০২৬ সালের মাঝামাঝি সময়ে, এআই অ্যাপ্লিকেশন তৈরির জন্য বহুল ব্যবহৃত মাস্ট্রা ফ্রেমওয়ার্কটি একটি সমন্বিত অভিযানের শিকার হয়, যা শুরু হয়েছিল একটি অত্যাধুনিক সামাজিক প্রকৌশল আক্রমণলিঙ্কডইনে একজন কন্ট্রিবিউটর একটি প্রতারণামূলক বার্তা পান, যার ফলে শেষ পর্যন্ত তার এনপিএম পাবলিশিং টোকেনটি হ্যাক হয়ে যায়। আক্রমণকারী কোনো সময় নষ্ট না করে মাস্ট্রা নেমস্পেসের অধীনে প্যাকেজের ১৪০টিরও বেশি ক্ষতিকর সংস্করণ প্রকাশ করে, যা এমন এক ব্যবহারকারী গোষ্ঠীর কাছে পৌঁছায় যারা প্রতি সপ্তাহে দশ লক্ষেরও বেশি ডাউনলোড করে থাকে।
এই ঘটনাটিকে যা বিশেষভাবে ধূর্ত করে তুলেছে তা হলো, মাস্ট্রা কোডটি নিজে অক্ষত ছিল, কারণ ম্যালওয়্যারটি একটির ভেতরে লুকানো ছিল। নতুন যোগ করা নির্ভরতা এর নাম ছিল easy-day-js। এই প্যাকেজটি একটি জনপ্রিয় ডেট লাইব্রেরির ক্লোন ছিল, যা এমনভাবে ডিজাইন করা হয়েছিল যাতে কোনো ডেভেলপার তার ডিপেন্ডেন্সি ট্রি একবার চোখ বোলালেই এটিকে সম্পূর্ণ নিরীহ বলে মনে হয়। একটি পরিবর্তনশীল ভার্সন রেঞ্জ ব্যবহার করে আক্রমণকারী নিশ্চিত করেছিল যে, যেকোনো নতুন ইনস্টলেশন স্বয়ংক্রিয়ভাবে ক্ষতিকর ভার্সনটি পুল করবে, যা কার্যকরভাবে ডেভেলপারের ওয়ার্কস্টেশন বা CI/CD রানারে একটি ব্যাকডোর খুলে দেয়।
গবেষণা দলগুলো ক্ষতিগ্রস্ত প্রত্নবস্তুর মোট সংখ্যায় সামান্য গরমিল লক্ষ্য করেছে, যার সংখ্যা বিভিন্ন রকমের হতে পারে। ১১৬ থেকে ১৪৫টি প্যাকেজ বিশ্লেষণের সময়ের উপর নির্ভর করে। এটি এই অভিযানগুলোর অস্থির প্রকৃতিকে তুলে ধরে, যেখানে আক্রমণকারীরা দ্রুত প্রমাণ প্রকাশ, পরিবর্তন এবং মুছে ফেলতে পারে, ফলে চিহ্ন মুছে ফেলার আগেই নিরাপত্তা দলগুলো ঝুঁকির সম্পূর্ণ মাত্রা নির্ণয় করতে হিমশিম খায়।
অ্যাক্সিওস হাইজ্যাক: প্লেইন-ক্রিপ্টো-জেএস সংযোগ
পরিস্থিতি আরও গুরুতর হয়ে উঠল যখন জাভাস্ক্রিপ্ট ডেভেলপারদের জন্য একটি অপরিহার্য HTTP ক্লায়েন্ট অ্যাক্সিওসও একই ধরনের আক্রমণের শিকার হলো। অ্যাকাউন্ট হাইজ্যাকিং ইভেন্টসংস্করণ ১.১৪.১ এবং ০.৩০.৪ ‘প্লেইন-ক্রিপ্টো-জেএস’ নামের একটি লুকানো ডিপেন্ডেন্সি সহ প্রকাশ করা হয়েছিল, যা একটি ক্রস-প্ল্যাটফর্ম রিমোট অ্যাক্সেস ট্রোজান (RAT) হিসেবে কাজ করত। এই ম্যালওয়্যারটি বিশেষভাবে উইন্ডোজ, ম্যাকওএস এবং লিনাক্স—সব পরিবেশ থেকেই সিস্টেমের তালিকা তৈরি করতে, স্থায়ী উপস্থিতি প্রতিষ্ঠা করতে এবং সংবেদনশীল তথ্য পাচার করার জন্য ডিজাইন করা হয়েছিল।
ইউনিট ৪২ এবং ইএসইটি-এর নিরাপত্তা বিশ্লেষকরা অ্যাক্সিওস হ্যাকিংয়ের ঘটনাটিকে একজন পরিচিত থ্রেট অ্যাক্টরের সাথে যুক্ত করেছেন। স্যাফায়ার স্লিট বা ইউএনসি১০৬৯একটি গোষ্ঠী, যা উত্তর কোরিয়ার স্বার্থের সাথে যুক্ত বলে জানা গেছে। এই সংযোগটি একটি শক্তিশালী আর্থিক উদ্দেশ্যের ইঙ্গিত দেয়, কারণ ম্যালওয়্যারটিতে ক্রিপ্টোকারেন্সি ওয়ালেট এক্সটেনশনগুলি সনাক্ত এবং লক্ষ্যবস্তু করার জন্য বিশেষ মডিউল ছিল। এটি উচ্চ-ঝুঁকিপূর্ণ ডিজিটাল গুপ্তচরবৃত্তির একটি ধ্রুপদী উদাহরণ, যা আমাদের সাধারণ ওয়েব অ্যাপ তৈরির সরঞ্জামগুলির মধ্যেই সবার চোখের সামনে লুকিয়ে থাকে।
কারিগরি বাস্তবায়নটি ছিল ভয়ংকরভাবে কার্যকর, যা প্রায়শই সংক্রমণের সম্পূর্ণ চক্রটি সম্পন্ন করত। পনেরো সেকেন্ডের কম সময়েপেলোডটি চালু হওয়ার পর, ইনস্টলারটি একটি কঠোর পরিচ্ছন্নতা অভিযান চালায়, ক্ষতিকারক সেটআপ ফাইলগুলো মুছে ফেলে এবং পরিবর্তিত ম্যানিফেস্টটিকে একটি নিরীহ-দর্শন নকল ফাইল দিয়ে প্রতিস্থাপন করে। ফরেনসিক সচেতনতার এই স্তরের অর্থ হলো, কোনো সংক্রমণের মাত্র কয়েক মিনিট পরেই একজন ডেভেলপার তার node_modules ফোল্ডারটি দেখলে অস্বাভাবিক কিছুই দেখতে পাবেন না।
পোস্টইনস্টল হুকের প্রযুক্তিগত কার্যপ্রণালী
এই আক্রমণগুলির প্রধান চালিকাশক্তি হলো npm postinstall hook, যা প্যাকেজগুলিকে ইনস্টলেশনের পরে স্বয়ংক্রিয়ভাবে স্ক্রিপ্ট চালানোর সুযোগ দেয়। যদিও এর উদ্দেশ্য হলো বৈধ কনফিগারেশন কাজএটি আক্রমণকারীদের জন্য একটি উন্মুক্ত দরজা হয়ে উঠেছে। মাস্ট্রা এবং অ্যাক্সিওস উভয় ক্ষেত্রেই, পোস্টইনস্টল স্ক্রিপ্টটি একটি দুর্বোধ্য লোডার চালু করেছিল যা টিএলএস সার্টিফিকেট যাচাইকরণ নিষ্ক্রিয় করে দেয়, ফলে ম্যালওয়্যারটি সাধারণ নেটওয়ার্ক পরিদর্শন টুল দ্বারা চিহ্নিত না হয়েই কমান্ড-অ্যান্ড-কন্ট্রোল সার্ভারগুলির সাথে যোগাযোগ করতে সক্ষম হয়।
ম্যালওয়্যারের দ্বিতীয় পর্যায়টি ডাউনলোড হয়ে গেলে, এটি প্রায়শই একটি বিচ্ছিন্ন প্রসেস হিসেবে তৈরি হতো, যার অর্থ হলো ক্ষতিকারক কোডটি পটভূমিতে চলতে থাকে এমনকি npm ইনস্টলেশন প্রক্রিয়া শেষ হওয়ার পরেও। উইন্ডোজ সিস্টেমে, ম্যালওয়্যারটিকে তার স্ক্রিপ্ট চালানোর জন্য পাওয়ারশেলের মতো বৈধ বাইনারি হাইজ্যাক করতে দেখা গেছে, অন্যদিকে macOS এবং Linux-এ, এটি রিবুটের পরেও টিকে থাকা নিশ্চিত করতে সিস্টেম-স্তরের পরিষেবাগুলো ব্যবহার করত, যার ফলে প্যাকেজটি সাধারণ ডিলিট করা অকার্যকর হয়ে পড়ত।
শুধু ক্রিপ্টো চুরি করাই নয়, এই ইমপ্লান্টগুলো ব্রাউজার হিস্ট্রি ক্যাপচার করতে এবং অনুসন্ধান করতেও সক্ষম ছিল। ক্লাউড প্রদানকারীর পরিচয়পত্র অথবা SSH কী। একটি টেক স্টার্টআপের জন্য এটি একটি দুঃস্বপ্নের মতো পরিস্থিতি, যেখানে একজন ডেভেলপারের লোকাল এনভায়রনমেন্ট আক্রমণকারীর জন্য প্রোডাকশন সার্ভার বা প্রাইভেট কোড রিপোজিটরিতে প্রবেশ করার প্রবেশদ্বার হয়ে ওঠে। দেখা যাচ্ছে যে, আপনার কোম্পানির নিরাপত্তা হয়তো একজন সম্পূর্ণ অপরিচিত ব্যক্তির পাসওয়ার্ড ব্যবস্থাপনার ওপরই নির্ভর করছে।
ভবিষ্যৎ হুমকি মোকাবেলায় পাইপলাইনকে আরও শক্তিশালী করা
npm audit-এর মতো প্রচলিত নিরাপত্তা সরঞ্জামগুলি প্রায়শই এই ঘটনাগুলিকে প্রাথমিক পর্যায়ে ধরতে ব্যর্থ হয়, কারণ তারা নির্ভর করে... পরিচিত দুর্বলতা ডেটাবেস যা সক্রিয় ম্যালওয়্যার প্রচারণার চেয়ে পিছিয়ে থাকতে পারে। একটি প্রতিষ্ঠানকে সত্যিকার অর্থে সুরক্ষিত করতে হলে, দলগুলোকে আরও সক্রিয় প্রতিরক্ষা ব্যবস্থার দিকে অগ্রসর হতে হবে, যেমন— –ignore-scripts ফ্ল্যাগ সহ ইনস্টলেশন চালানো ডিফল্টরূপে। এই সহজ পদক্ষেপটি পোস্টইনস্টল হুকগুলির এক্সিকিউশন প্রতিরোধ করে, যা বেশিরভাগ এনপিএম-ভিত্তিক সাপ্লাই চেইন অ্যাটাকের প্রধান মাধ্যম।
আরেকটি গুরুত্বপূর্ণ কৌশল হলো ডিপেন্ডেন্সিগুলোর জন্য জিরো-ট্রাস্ট মডেলে স্থানান্তরিত হওয়া। হিমায়িত লকফাইল এবং ব্যক্তিগত রেজিস্ট্রিকোম্পানিগুলো একটি বাফার জোন তৈরি করতে পারে, যেখানে নতুন প্যাকেজ সংস্করণগুলোকে মূল বিল্ড পাইপলাইনে প্রবেশের অনুমতি দেওয়ার আগে সেগুলোর আচরণগত অস্বাভাবিকতা বিশ্লেষণ করা হয়। CI/CD রানার থেকে শুধুমাত্র অনুমোদিত ডোমেইনে নেটওয়ার্ক নির্গমন সীমাবদ্ধ করা হলে, ম্যালওয়্যারের সেকেন্ডারি পেলোড সংগ্রহ করতে বা চুরি করা টোকেন পাচার করার জন্য প্রয়োজনীয় যোগাযোগ শৃঙ্খলটিও ভেঙে যেতে পারে।
পরিশেষে, ওপেন-সোর্স সফটওয়্যারের রক্ষণাবেক্ষণকারী এবং ব্যবহারকারী উভয়ের উপরেই এই দায়িত্ব বর্তায়। প্রবেশাধিকার নিয়ন্ত্রণ কঠোর করুন এবং এমন মাল্টি-ফ্যাক্টর অথেনটিকেশন প্রয়োগ করুন যা অটোমেশন টোকেন দ্বারা বাইপাস করা যায় না। ইন্ডাস্ট্রি যখন এগিয়ে চলেছে, তখন প্রতিটি থার্ড-পার্টি লাইব্রেরিকে একটি বিশ্বস্ত সম্পদ হিসেবে না দেখে সম্ভাব্য ঝুঁকি হিসেবে বিবেচনা করাই হলো এমন একটি যুগে টিকে থাকার একমাত্র উপায়, যেখানে সাপ্লাই চেইন নিজেই একজন হ্যাকারের অস্ত্রাগারের অন্যতম কার্যকর অস্ত্রে পরিণত হয়েছে।
