বাংলাদেশি ডেভেলপারদের সতর্কতা: TeamPCP ওয়ার্মে ১৭২ প্যাকেজ দূষিত
TeamPCP গ্রুপটি npm ও PyPI-তে ১৭২টি প্যাকেজ বিষাক্ত করেছে। ওয়ার্মটি প্রকাশের ৩১ দিনের মধ্যে দুইটি স্বাধীন ডেরিভেটিভ ক্যাম্পেইন তৈরি হয়েছে। TanStack, Mistral AI, OpenSearch-এর মতো বড় প্রকল্পগুলো আক্রান্ত হয়েছে।
TeamPCP গ্রুপটি npm ও PyPI-তে ১৭২টি প্যাকেজ বিষাক্ত করেছে। ওয়ার্মটি প্রকাশের ৩১ দিনের মধ্যে দুইটি স্বাধীন ডেরিভেটিভ ক্যাম্পেইন তৈরি হয়েছে। TanStack, Mistral AI, OpenSearch-এর মতো বড় প্রকল্পগুলো আক্রান্ত হয়েছে।
একটি বিপজ্জনক সাপ্লাই চেইন আক্রমণে TeamPCP গ্রুপটি npm ও PyPI প্যাকেজ রেজিস্ট্রি থেকে ১৭২টি প্যাকেজ বিষাক্ত করেছে। এই ওয়ার্মটি প্রকাশের ৩১ দিনের মধ্যে দুইটি স্বাধীন ডেরিভেটিভ ক্যাম্পেইন তৈরি হয়েছে। TanStack, Mistral AI, OpenSearch, UiPath এবং Guardrails AI-র মতো বড় প্রকল্পগুলো আক্রান্ত হয়েছে।
TeamPCP গ্রুপটি ২০২৬ সালের ১১ মে একটি সমন্বিত আক্রমণ চালায়। তারা মিসকনফিগারড GitHub Actions ওয়ার্কফ্লো ব্যবহার করে ১৭২টি প্যাকেজ বিষাক্ত করে। এই ওয়ার্মটি ১২ মে Mini Shai-Hulud নামে GitHub-এ প্রকাশিত হয়। এক মাসের মধ্যে দুইটি স্বাধীন ক্যাম্পেইন এই ওয়ার্মটিকে ফর্ক করেছে। প্রতিটি ক্যাম্পেইন নতুন ইনস্টল-টাইম বাইপাস তৈরি করেছে যা আগের প্রতিরক্ষা ব্যবস্থা সামলাতে পারেনি।
এই আক্রমণের পদ্ধতি টাইপো-স্কোয়াটিং বা লিকড ক্রেডেনশিয়াল নয়। এটি একটি মিসকনফিগারড GitHub Actions ওয়ার্কফ্লো ব্যবহার করেছে। ওয়ার্কফ্লোটি এমনভাবে কনফিগার করা ছিল যে আক্রমণকারীরা প্যাকেজ রেজিস্ট্রিতে স্বয়ংক্রিয়ভাবে ম্যালওয়্যার আপলোড করতে পেরেছে। এই পদ্ধতি আগের চেয়ে অনেক বেশি কার্যকর প্রমাণিত হয়েছে।
আক্রান্ত প্রকল্পগুলোর মধ্যে রয়েছে TanStack, Mistral AI, OpenSearch, UiPath এবং Guardrails AI। এই প্রকল্পগুলো প্রতিদিন লক্ষ লক্ষ ডেভেলপার ব্যবহার করে। আক্রমণকারীরা প্যাকেজগুলোর মধ্যে ম্যালওয়্যার ঢুকিয়ে দিয়েছে যা ইনস্টলেশনের সময় সক্রিয় হয়। এই ম্যালওয়্যার ব্যবহারকারীর সিস্টেম থেকে তথ্য চুরি করতে পারে।
বাংলাদেশের ডেভেলপার ও ফ্রিল্যান্সারদের জন্য এই খবর অত্যন্ত গুরুত্বপূর্ণ। অনেক বাংলাদেশি ডেভেলপার npm ও PyPI থেকে প্যাকেজ ডাউনলোড করে সফটওয়্যার তৈরি করে। এই আক্রমণ থেকে বাঁচতে ডেভেলপারদের প্যাকেজ আপডেট করার আগে যাচাই করা উচিত। GitHub Actions ওয়ার্কফ্লো সঠিকভাবে কনফিগার করা আছে কিনা তা নিশ্চিত করা জরুরি।
এই ওয়ার্মের প্যাটার্ন এখন স্পষ্ট। গবেষকরা ভবিষ্যদ্বাণী করছেন যে আগামী দিনে আরও ডেরিভেটিভ ক্যাম্পেইন আসতে পারে। ডেভেলপারদের উচিত তাদের ডিপেন্ডেন্সি নিয়মিত স্ক্যান করা এবং অপ্রয়োজনীয় প্যাকেজ সরিয়ে ফেলা। সাপ্লাই চেইন সুরক্ষার জন্য নিয়মিত অডিট ও অটোমেটেড টুল ব্যবহার করা প্রয়োজন।
TeamPCP গ্রুপের এই আক্রমণ ওপেন সোর্স ইকোসিস্টেমের দুর্বলতা উন্মোচন করেছে। ডেভেলপার কমিউনিটির উচিত আরও কঠোর নিরাপত্তা ব্যবস্থা গ্রহণ করা। ভবিষ্যতে এ ধরনের আক্রমণ প্রতিরোধে GitHub Actions ওয়ার্কফ্লো কনফিগারেশনের জন্য নতুন নির্দেশিকা তৈরি করা জরুরি।
আরও পড়ুন
এই সংবাদটি আন্তর্জাতিক সূত্রের তথ্য অবলম্বনে AI-সহায়তায় বাংলায় উপস্থাপন ও বাংলাদেশের প্রেক্ষাপটে সম্পাদিত। মূল তথ্যের জন্য নিচের সূত্র দেখুন।
মূল প্রতিবেদন: dev.to AI
সোর্স দেখুন ↗মন্তব্য০
লোড হচ্ছে...