00:00:00यह अब तक का सबसे बड़ा NPM सप्लाई चेन उल्लंघन हो सकता है जो हमने कभी देखा है,
00:00:03और नहीं, यह अप्रैल फूल नहीं है, यह बस खराब समय है और लोगों को इसके बारे में पता होना चाहिए।
00:00:07यह Axios पैकेज में हुआ, HTTP क्लाइंट इस हफ्ते 10.1 करोड़ बार इंस्टॉल किया गया है
00:00:13और इसके 1,74,000 से अधिक डिपेंडेंट हैं। तो इसने Datadog,
00:00:18OpenClaw और WordPress जैसे पैकेजों को पहले ही प्रभावित कर दिया है, और इसे उत्तर कोरियाई हैकर्स से भी जोड़ा गया है।
00:00:22तो चलिए सीधे देखते हैं कि आखिर हुआ क्या।
00:00:29तो कहानी यह है, 31 मार्च, 2026 को एक हमलावर ने NPM अकाउंट के साथ छेड़छाड़ की
00:00:34Axios के लीड मेंटेनर का अकाउंट और दो बैकडोर रिलीज़ प्रकाशित किए, वर्ज़न 1.14.1 जो
00:00:39लेटेस्ट रिलीज़ के रूप में टैग किया गया था और वर्ज़न 0.30.4 जिसे लेगेसी के रूप में टैग किया गया था।
00:00:44इन पैकेजों में उन्होंने plaincryptojs नाम की एक फैंटम डिपेंडेंसी पेश की
00:00:48जो मूल रूप से सामान्य crypto.js पैकेज ही था लेकिन इसमें एक छोटा सा बदलाव था,
00:00:52इसमें setup.js नाम की एक पोस्ट इंस्टॉल स्क्रिप्ट थी। इसका मतलब है कि हर कोई और हर CI जो
00:00:58इन प्रभावित पैकेजों को इंस्टॉल कर रहा था, वह इस स्क्रिप्ट को भी चला रहा था। स्क्रिप्ट में
00:01:02ओबफस्केटेड कोड था जो जाँच कर रहा था कि आप किस ऑपरेटिंग सिस्टम का उपयोग कर रहे हैं और फिर एक सर्वर से जुड़ रहा था
00:01:07ताकि आपके ऑपरेटिंग सिस्टम के हिसाब से दूसरा पेलोड डाउनलोड किया जा सके। तो कोई भी
00:01:12इस हमले से सुरक्षित नहीं था और उन्होंने यहाँ तक सुनिश्चित किया कि Mac OS पेलोड
00:01:16Intel और Apple Macs दोनों पर काम करे। और यह दूसरा पेलोड ही वास्तव में बहुत बुरा है,
00:01:20यह RAT या रिमोट एक्सेस ट्रोजन है और यह सभी ऑपरेटिंग सिस्टम पर मूल रूप से एक ही तरह से काम करता है।
00:01:25पहले यह आपकी फ़ाइलों को स्कैन करेगा, आपके डॉक्यूमेंट्स, डेस्कटॉप
00:01:29और कॉन्फ़िगरेशन फ़ोल्डर्स की जाँच करेगा और विंडोज़ वर्ज़न आपके OneDrive, AppData और सिस्टम के
00:01:33हर ड्राइव लेटर को भी स्कैन कर रहा था और फिर वह फ़ाइलों की सूची सर्वर पर वापस भेज देगा
00:01:38शायद यह जाँचने के लिए कि क्या कुछ चुराने लायक है। उसके बाद यह बीकनिंग शुरू कर देगा,
00:01:42यानी हर 60 सेकंड में यह आपके होस्टनेम, यूजरनेम, ऑपरेटिंग सिस्टम,
00:01:47टाइम ज़ोन, हार्डवेयर मॉडल और सभी चल रही प्रोसेस की पूरी सूची के साथ घर पर संपर्क कर रहा था ताकि हमलावर देख सके कि
00:01:52आप कौन सा सॉफ़्टवेयर चला रहे हैं और क्या आप सक्रिय रूप से उसका उपयोग कर रहे हैं। और अगर यह सब सुनने में काफी बुरा नहीं लग रहा है,
00:01:56तो सबसे बुरा हिस्सा अभी आना बाकी है क्योंकि हमलावर किसी भी समय रिमोटली चार कमांड जारी कर सकता है
00:02:00जो उन्हें आपके सिस्टम पर किसी भी डायरेक्टरी को ब्राउज़ करने, मनमाने शेल कमांड या स्क्रिप्ट चलाने,
00:02:05अतिरिक्त मैलवेयर डालने और चलाने या अपने निशान मिटाने के लिए पूरी प्रोसेस को ही खत्म करने की अनुमति देगा। वास्तव में
00:02:10उन्होंने यहाँ तक सुनिश्चित किया कि मूल सेटअप स्क्रिप्ट खुद को डिलीट कर दे और फिर उस package.json को हटा दे
00:02:15जिसमें पोस्ट इंस्टॉल था और इसे एक क्लीन वर्ज़न से बदल दे ताकि इसे
00:02:19जहाँ तक संभव हो पता न लगने योग्य बनाया जा सके। तो आप देख सकते हैं कि यह हैक वाकई बहुत बुरा था और इसे
00:02:23डेवलपर वर्कस्टेशन और CI/CD रनर्स को निशाना बनाने के लिए डिज़ाइन किया गया है ताकि .env फ़ाइलों,
00:02:28NPM टोकन, SSH कुंजियों और कुछ भी अन्य रहस्यों को ढूँढा जा सके और कोई भी सिस्टम जिसने इन घातक पेलोड्स को चलाया है,
00:02:34उसे पूर्ण क्रेडेंशियल चोरी का मामला माना जाना चाहिए। इन सबके ऊपर,
00:02:38यह भी एक रहस्य है कि NPM अकाउंट कैसे हैक हुआ। मेंटेनर ने बताया कि उसका टू-फैक्टर ऑथ इनेबल्ड है और
00:02:43उसके GitHub एक्शन पाइपलाइनों में भी ऑथ इनेबल्ड है। तो जो प्रतीत होता है वह यह है कि
00:02:47पैकेज NPM CLI का उपयोग करके एक लंबे समय तक चलने वाले NPM एक्सेस टोकन के माध्यम से प्रकाशित किए गए थे। तो अगला सवाल
00:02:53यह है कि उन्हें उस टोकन तक पहुँच कैसे मिली और मेंटेनर को लगता है कि शायद किसी ने
00:02:56उसके अकाउंट रिकवरी कोड हासिल कर लिए हैं, लेकिन उन्होंने ऐसा कैसे किया यह अभी के लिए पूरी तरह से एक रहस्य है। अगर आप
00:03:01देखना चाहते हैं कि क्या आप इससे प्रभावित हुए हैं, तो अपनी लॉक फाइल्स में प्रभावित
00:03:04axios वर्ज़न और plain crypto.js पैकेज को सर्च करें और अपने node modules में भी
00:03:09पैकेज को ढूँढें। यदि आप उनमें से किसी को भी देखते हैं, तो दुर्भाग्य से यह बुरी खबर है। आप अपने सिस्टम को
00:03:14RAT के कुछ आर्टिफैक्ट्स के लिए भी जाँच सकते हैं और मैं नीचे इसके बारे में पूरा विवरण छोड़ दूँगा ताकि आप चरणों का पालन कर सकें
00:03:18और जान सकें कि अगर आपके साथ छेड़छाड़ हुई है तो क्या करना है। भविष्य के लिए भी कुछ
00:03:22कदम हैं जो आप इन हमलों को रोकने के लिए उठा सकते हैं और पहला हमेशा अपनी लॉक फाइल्स को कमिट करना है
00:03:26और सुनिश्चित करें कि आप अपने पाइपलाइन में NPM install कमांड के बजाय NPM CI कमांड का उपयोग कर रहे हैं।
00:03:31आप यह भी सुनिश्चित करना चाहते हैं कि आपके पैकेज मैनेजर में एक न्यूनतम आयु सेट हो, यह सुनिश्चित करते हुए कि
00:03:35पैकेज इंस्टॉल होने से पहले कम से कम 48 घंटे पुराने हों, इस उम्मीद के साथ कि कोई भी घातक पैकेज
00:03:39समय रहते पकड़ लिया जाए क्योंकि इस axios वाले को वास्तव में तीन घंटे बाद खोज लिया गया और डिलीट कर दिया गया। अंत में,
00:03:44यदि संभव हो तो NPM install चलाते समय ignore scripts फ्लैग का उपयोग करें या बस एक पैकेज
00:03:48मैनेजर जैसे bun का उपयोग करें जो वास्तव में डिफ़ॉल्ट रूप से सभी पोस्ट इंस्टॉल स्क्रिप्ट को ब्लॉक करता है और उन्हें केवल” उन
00:03:53डिपेंडेंसी पर चलाता है जिन्हें आपने विशेष रूप से भरोसेमंद के रूप में सूचीबद्ध किया है। मुझे उम्मीद है कि यह इस साल का
00:03:57सबसे बड़ा हमला होगा जिसे हम देखेंगे, लेकिन हम इनमें से अधिक से अधिक देख रहे हैं इसलिए सुरक्षित
00:04:01रहना सुनिश्चित करें और मुझे नीचे कमेंट्स में बताएं कि आप इस सब के बारे में क्या सोचते हैं।
00:04:04या उस सब्सक्राइब बटन को दबाएं और हमेशा की तरह, अगले वीडियो में मिलते हैं।