کئی آن لائن کرپٹو ایپلیکیشنز نے ۳۰ اکتوبر کو سیکیورٹی کی خلاف ورزیوں کا سامنا کیا کیونکہ ایک وسیع پیمانے پر استعمال ہونے والی انیمیشن لائبریری میں مضر کوڈ داخل کیا گیا تھا۔
ڈی سینٹرلائزڈ فائنانس پلیٹ فارمز جیسے 1inch اور TEN Finance نے پوپ اپس دکھائی دیتی تھیں جو صارفین کو ان کی والٹ سے رابطہ کرنے کی تاکید کرتی تھیں، جن کا تعلق کرپٹو ختم کرنے والے مالویئر “Ace Drainer” سے تھا، جیسا کہ سیکیورٹی پلیٹ فارم بلاک ایڈ کی ایک پوسٹ سے ظاہر ہوتا ہے۔
یہ خلاف ورزی Lottie Player لائبریری پر ایک حملے سے پیدا ہوئی، جو کہ ایک مقبول سروس ہے جو ویب سائٹس اور ایپس کے لئے انیمیشن فراہم کرتی ہے۔
Lottie Player، ایپل، اسپاٹیفائی، اور ڈزنی جیسے اعلیٰ پروفائل کمپنیوں کو اپنے صارفین میں شامل کرتا ہے۔
Wiz کے سائبرسیکیورٹی ماہر گال نگلی نے اسے ایک “وسیع پیمانے پر سپلائی چین حملہ” قرار دیا جہاں ہیکرز نے قانونی ویب سائٹس پر نقصان دہ پوپ اپس ڈال دیں۔
روایتی فشنگ حملوں کے برعکس جہاں دھوکہ باز سوشل میڈیا اکاؤنٹس کو جعلی ویب سائٹس کی طرف لیجانے کے لئے سنبھالتے ہیں، اس حملے نے جائز لائبریری اپڈیٹ میں نقصان دہ کوڈ کو شامل کیا۔
اس طریقہ کار نے حملہ آوروں کو مشہور کرپٹو پلیٹ فارمز کو ہدف بنانے کی اجازت دی جو کہ متعفن کردہ لائبریری استعمال کرتی تھیں۔
LottieFiles کے انجنیئرنگ کے نائب صدر جوائش حمید نے GitHub پر خلاف ورزی کی تصدیق کی۔
انہوں نے وضاحت کی کہ حملہ آوروں نے ایک اعلیٰ سافٹ ویئر انجینئر کا GitHub اکاؤنٹ سمجھوتہ کر لیا اور تین نقصان دہ اپڈیٹس تین گھنٹے میں جاری کیں۔
حمید نے صارفین کو یقین دلایا کہ متعفن کردہ ورژنز کو ختم کر دیا گیا ہے، اور انہوں نے ان سے محفوظ ورژنز، یا تو 2.0.4 یا تازہ ترین 2.0.8، پر اپڈیٹ کرنے کی تاکید کی۔
نگلی نے انتباہ دیا کہ صارفین اب بھی ویب سائٹس پر نقصان دہ پوپ اپس دیکھ سکتے ہیں جو Lottie Player لائبریری کے محفوظ ورژنز پر اپڈیٹ نہیں ہوئی ہیں۔
انہوں نے صارفین کو مشورہ دیا کہ وہ یہ تحقیق کریں کہ آیا سائٹس غیر متعفن کردہ ورژنز استعمال کر رہی ہیں تاکہ خطرہ سے بچا جا سکے۔