მავნე პლაგინები და მოდები თამაშის სერვერებზე

თამაშის სერვერის backdoor-იანი პლაგინების უმეტესობა ოთხიდან ერთ-ერთი გზით მოდის: ფასიანი პლაგინის გაჟონილი ან "nulled" ასლი, პოპულარულის მიმსგავსებული ატვირთვა, ნამდვილი პროექტი, რომლის ავტორის ანგარიშიც მიიტაცეს, ან დეველოპერი თუ დამხმარე, რომელსაც ფაილებზე წვდომა მიეცი. თავად კოდი, როგორც წესი, მარტივია - ფარული ფრაზა ჩატში, რომელიც ოპერატორობას გასცემს, ვებ-მოთხოვნა, რომლის პასუხიც კოდად სრულდება, მეორე ფაილი, ჩაგდებული იქ, სადაც არ იყურები - და სკრიპტულ პლატფორმებზე, როგორიცაა Garry's Mod და FiveM, მის დიდ ნაწილს ტექსტური ძებნით იპოვი. დაცვა ძირითადად იმაზეა, საიდან მოდის ფაილები და ვის შეუძლია შენს სერვერზე ჩაწერა, და მხოლოდ ნაწილობრივ - ჩამოტვირთულის შემოწმებაზე.

ეს სტატია სურათის თავდამსხმელის მხარეა: როგორ შედის ცუდი კოდი და როგორ გამოიყურება, როცა უკვე იქ არის. მოდების უსაფრთხოდ დაყენების ყოველდღიური რუტინა - სანდო წყაროები, checksum-ები, თითო ცვლილება ერთ ჯერზე, backup ყოველ ინსტალაციამდე - არის მოდებიანი სერვერის სისუფთავის შენარჩუნება-ში, და მისი ამასთან ერთად წაკითხვა ღირს.

ოთხი გზა შენს სერვერამდე#

პირველი გზა ყველაზე გავრცელებულია. ფასიანი პლაგინიდან ლიცენზიის შემოწმების ამოღება მის დეკომპილაციას და ხელახლა აწყობას ნიშნავს, და ვინც ამ სამუშაოს აკეთებს, რამის დამატების ყველა შესაძლებლობა აქვს. ისინი ამავე დროს მოპარულ პროგრამას ავრცელებენ, რაც მათ პრიორიტეტებზე რაღაცას გეუბნება. leak-საიტებს სუფთა ასლის მოცემის არანაირი მიზეზი არ აქვთ და არმოცემის რამდენიმე მიზეზი აქვთ: ადმინის backdoor ასობით სერვერზე გასაყიდი რამეა.

მეორე გზა იმაზეა გათვლილი, რომ ეძებ და არა პირდაპირ გადადიხარ. პლაგინი სახელით "EssentialsX-Fix", GitHub რეპოზიტორია თითქმის იდენტური სახელით და ერთი რელიზით, YouTube ვიდეო, რომლის აღწერაში "სარკის" ბმულია. ფაილი დამაჯერებელია, სახელი ახლოსაა, ავტორი კი ვინმეა, ვისზეც არასოდეს გსმენია.

მესამე გზა ფრთხილ ადამიანებსაც იჭერს, რადგან იმ არხით მოდის, რომელსაც ნდობას გირჩევდნენ. თუ ცნობილი მოდის ავტორის ანგარიშს მიიტაცებენ, ოფიციალური პროექტის გვერდიდან შემდეგი "განახლება" ნებისმიერ რამეს შეიძლება შეიცავდეს. ეს უდიდეს პლატფორმებზე მომხდარა.

მეოთხე გზა ადამიანებია. დეველოპერი, რომელიც საკუთარი ფუნქციის ასაწყობად დაიქირავე, მოხალისე, რომელმაც "იცის, ლაგი როგორ გაასწოროს", ყოფილი სტაფის წევრი SFTP წვდომით, რომელიც არავინ ჩამოართვა. მათ backdoor-ის ფარულად შეპარვა არ სჭირდებათ; შეუძლიათ უბრალოდ იქ ჩადონ.

რას აკეთებს payload-ი, როგორც წესი#

თამაშის სერვერებზე backdoor-ები იშვიათად არის დახვეწილი. არც სჭირდებათ, რადგან სერვერების უმეტესობას მონიტორინგი არ აქვს და მფლობელების უმეტესობა არასოდეს კითხულობს კოდს, რომელსაც უშვებს.

ყველაზე მეტად დისტანციური ჩამტვირთავი უნდა გაწუხებდეს, რადგან ეს ნიშნავს, რომ backdoor, რომელსაც დღეს იპოვი, შეიძლება ის ქცევა არ იყოს, რომელსაც ხვალ მიიღებ. დისკზე არსებული კოდი პატარა და მოსაწყენია - ჩამოტვირთე URL, გაუშვი, რაც დაბრუნდა - და ყველაფერი საინტერესო თავდამსხმელის სერვერზე ცხოვრობს, სადაც მას ვერ წაიკითხავ.

მონაცემების შემგროვებელი მნიშვნელოვანია იმის გამო, რასაც პლაგინების კონფიგ-ფაილები შეიცავს. მონაცემთა ბაზის პაროლები პლაგინებისთვის, რომლებიც MySQL-ს იყენებს, ვებ-პანელის ტოკენები, webhook URL-ები, ზოგჯერ RCON პაროლი. როცა ეს მოპარულია, პლაგინის წაშლა პრობლემას არ ამთავრებს.

მიწოდების ჯაჭვის რეალური შემთხვევა: fractureiser#

2023 წლის ივნისში Minecraft-ის მოდებისა და პლაგინების მომხმარებლებმა აღმოაჩინეს მავნე კამპანია, რომელსაც მოგვიანებით fractureiser დაარქვეს. თავდამსხმელებმა CurseForge-ისა და dev.bukkit.org-ის ანგარიშებზე წვდომა მოიპოვეს და არსებული პროექტების დაინფიცირებული ვერსიები ატვირთეს. ადამიანებმა, რომლებმაც ეს ფაილები ოფიციალური პლატფორმებიდან ჩამოტვირთეს, მიიღეს jar პატარა ჩანერგილი ჩამტვირთავით. როცა მოდი ან პლაგინი ეშვებოდა, ჩამტვირთავი ინტერნეტიდან შემდეგ ეტაპებს იღებდა; მომდევნო ეტაპები მონაცემებს იპარავდა - ბრაუზერის cookie-ებს, Discord-ის ტოკენებს, Minecraft-ისა და Microsoft-ის ანგარიშების სესიებს - და ცდილობდა იმავე მანქანაზე სხვა .jar ფაილების დაინფიცირებას.

ამან რამდენიმე გაკვეთილი მოგვცა, რომლებიც ნებისმიერ თამაშს ეხება:

• "ოფიციალური წყარო" რისკს ამცირებს და არა აქრობს. ფაილები ზუსტად იქიდან მოვიდა, სადაც გზამკვლევები გიგზავნის.
• სულ ახალი ატვირთვები სარისკო ფანჯარაა. დაინფიცირებული ვერსიები შეზღუდული დროით იყო ხელმისაწვდომი, სანამ შეამჩნევდნენ და წაშლიდნენ. სერვერები, რომლებიც მოდების განახლებამდე რამდენიმე დღეს ელოდნენ, საფრთხის ქვეშ არასოდეს ყოფილან.
• jar-ს სხვა jar-ების დაინფიცირება შეუძლია. როგორც კი რაიმე მავნე ეშვება, ყოველი შესრულებადი ფაილი, რომლის ჩაწერაც სერვერის მომხმარებელს შეუძლია, საეჭვოა, და ამიტომაა ხელით გაწმენდა ცუდი სტრატეგია, ცნობილი კარგი backup-იდან აღდგენა კი - კარგი.
• საზოგადოების რეაქცია სწრაფი იყო. აღმოჩენის ინსტრუმენტები და ანალიზები რამდენიმე დღეში გამოჩნდა. პლატფორმის განცხადებების თვალის დევნება უფრო მეტი ღირს, ვიდრე ნებისმიერი სკანერი, რომელსაც თავად გაუშვებ.

სერვერისთვის პრაქტიკული დაცვა იაფია: ნუ განაახლებ მოდებს გამოსვლის დღეს, თუ განახლება იმას არ ასწორებს, რაც გჭირდება, შეინახე წინა მომუშავე ფაილი და ყოველ განახლებამდე backup გააკეთე.

Garry's Mod და FiveM: კოდი, რომლის წაკითხვაც შეგიძლია#

სკრიპტულ პლატფორმებს ერთი დიდი უპირატესობა აქვს: სერვერის კოდის უმეტესობა უბრალო Lua ან JavaScript-ია, ასე რომ მისი ძებნა შეგიძლია. ამ პლატფორმებზე backdoor-ები იმავე მიზეზით არის გავრცელებული - გაჟონილი addon-ები და რესურსები ფართოდ ვრცელდება - და ისინი ცნობად შაბლონებს მიჰყვება.

Garry's Mod-ზე კლასიკური backdoor URL-იდან ტექსტს იღებს და RunString-ით ან CompileString-ით უშვებს, ან ამატებს ფარულ net შეტყობინებას, რომელიც კონსოლის ბრძანებას უშვებს ნებისმიერისთვის, ვინც მას გააგზავნის. addons საქაღალდეში დინამიკური კოდის შემსრულებელი ფუნქციების ძებნა მათ უმეტესობას პოულობს:

$ cd garrysmod/addons$ grep -rn --include='*.lua' -E 'RunString|CompileString|CompileFile' .$ grep -rn --include='*.lua' -E 'http\.Fetch|http\.Post|HTTP\(' .$ grep -rn --include='*.lua' -E 'game\.ConsoleCommand|RunConsoleCommand' .$ grep -rln --include='*.lua' -E '\\x[0-9a-fA-F]{2}.*\\x[0-9a-fA-F]{2}' .

დამთხვევები დანაშაულის მტკიცებულება არ არის - უამრავი ლეგიტიმური addon განახლებებს იღებს ან კონსოლის ბრძანებებს უშვებს - მაგრამ თითოეულს აზრი უნდა ჰქონდეს იმის მიხედვით, რასაც addon აცხადებს. prop-ების გამჩენ addon-ს, რომელიც URL-ს იღებს და შედეგს RunString-ს გადასცემს, უდანაშაულო ახსნა არ აქვს. ბოლო ძებნა პოულობს hex-ით ესკეიპირებული სიმბოლოების გრძელ მიმდევრობებს, რაც URL-ის ან ფუნქციის სახელის ზერელე მკითხველისგან დამალვის გავრცელებული ხერხია. Garry's Mod-ის workshop და FastDL ხსნის, სად ცხოვრობს სერვერის addon-ები რეალურად.

FiveM-ზე ეკვივალენტური შაბლონია PerformHttpRequest, რომლის პასუხიც load-ს გადაეცემა, ხშირად assert(load(...))()-ში გახვეული და სხვა მხრივ ჩვეულებრივ რესურსში დამალული. 2023 წელს ამ backdoor-ების ფართოდ განხილული ოჯახი, ცნობილი როგორც Cipher, ძირითადად გაჟონილი რესურსებით ვრცელდებოდა და მის ოპერატორებს დაინფიცირებული სერვერების დისტანციურ კონტროლს აძლევდა.

$ cd resources$ grep -rn --include='*.lua' -E 'PerformHttpRequest' .$ grep -rn --include='*.lua' -E '(^|[^a-zA-Z_])load\(' .$ grep -rn --include='*.js' -E 'eval\(|new Function\(|https?\.get\(' .$ grep -rln -E '\\x[0-9a-fA-F]{2}.*\\x[0-9a-fA-F]{2}' .

ყოველ fxmanifest.lua-საც ჩახედე. რესურსი, რომელიც ჩამოთვლის სერვერის სკრიპტს, რომელსაც ვერ ცნობ, ან ფაილი შემთხვევითი სახელით, ქვესაქაღალდეში ჩამარხული, წაკითხვას იმსახურებს. ოფიციალური asset სისტემის escrow-ით დაცული (დაშიფრული) რესურსების წაკითხვა შეუძლებელია, რაც მათი ყიდვის ერთ-ერთი კომპრომისია - მაგრამ ისინი ცნობილი გამყიდველისგან Cfx.re-ს გავლით მოდის, და ეს წარმომავლობაა, რომლის შემოწმებაც შეგიძლია. FiveM escrow და asset-ების ლიცენზირება ამ სისტემას დეტალურად ხსნის.

Minecraft და Unity-ის თამაშები: კომპილირებული კოდი#

Bukkit პლაგინები, Forge და Fabric მოდები და BepInEx პლაგინები კომპილირებულია. წყაროს grep-ით ვერ მოძებნი, ფასიანი პლაგინებისთვის კი ობფუსკაცია ნორმაა, ასე რომ სრული განხილვა მფლობელების უმეტესობისთვის რეალისტური არ არის. რისი გაკეთებაც შეგიძლია, უფრო ვიწროა:

• გახსენი და მოძებნე სტრიქონები. jar zip ფაილია; გახსნილი class ფაილები ჯერ კიდევ შეიცავს წაკითხვად სტრიქონებს, როგორიცაა URL-ები და კლასების სახელები. ბრძანებები მოდების უსაფრთხოების სტატიაშია.
• მოძებნე მეთოდები, რომლებიც backdoor-ებს სჭირდება. Java-ში URLClassLoader, defineClass, Runtime.getRuntime().exec და ProcessBuilder ლეგიტიმურად გამოიყენება, მაგრამ იშვიათია, ვთქვათ, ჩატის ფორმატირების პლაგინში. პლაგინი, რომელიც ჩატის მოვლენებს უსმენს და setOp-ს იძახებს, ნებისმიერ დეკომპილატორში წითელი დროშაა.
• გაუშვი საზოგადოების სკანერი. Minecraft-ისთვის არსებობს ღია კოდის სკანერები, რომლებიც პლაგინების საქაღალდეებში ცნობილი მავნე პროგრამების სიგნატურებს ეძებს; MCAntiMalware ერთ-ერთი ფართოდ გამოყენებული მაგალითია. სუფთა შედეგი მიიღე როგორც "არ არის ცნობილი ნიმუში" და არა როგორც "უსაფრთხოა".
• უყურე ქცევას. გამავალი კავშირები სერვერის პროცესიდან უცნობ მისამართებზე, ოპერატორები, რომლებიც შენ არ დაგიმატებია, და CPU-ის გამოყენება, როცა ონლაინ არავინაა - ეს ის ნიშნებია, რომლებსაც მნიშვნელობა აქვს.

Unity-ის თამაშებზე BepInEx-ით, როგორიცაა Valheim, იგივე ეხება .dll ფაილებს BepInEx/plugins-ში: აიღე ისინი Thunderstore-იდან, Nexus Mods-იდან ან ავტორის საკუთარი რეპოზიტორიიდან და ავტორი პროექტის გვერდზე შეამოწმე. Valheim-ის მოდები BepInEx-ით განლაგებას ხსნის.

შემოწმება, რომ წყარო ის არის, რადაც თავს აცხადებს#

წარმომავლობა ის დაცვაა, რომელიც ყველა პლატფორმაზე მუშაობს. რამდენიმე შემოწმება ყალბების უმეტესობას ერთ წუთზე ნაკლებში იჭერს:

1. გადადი პირდაპირ, ნუ ეძებ. შედი პლაგინების პლატფორმაზე და პროექტის გვერდი იქიდან გახსენი, ან მიჰყევი ბმულს ავტორის საკუთარი საიტიდან ან GitHub პროფილიდან.
2. შეადარე ამტვირთავი ავტორს. SpigotMC-ზე, Hangar-ზე, Modrinth-ზე, CurseForge-ზე, Thunderstore-სა და Workshop-ზე ამტვირთავი გვერდზე ჩანს. პოპულარული პლაგინი, სხვა ანგარიშის მიერ ხელახლა ატვირთული, ყალბია, სანამ საწინააღმდეგო არ დამტკიცდება.
3. ნახე ისტორია. ნამდვილ პროექტს თვეების ან წლების წინანდელი ვერსიები, issue-ები და ცვლილებების ჟურნალი აქვს. გასულ კვირას შექმნილი რეპოზიტორია ერთი რელიზით და წყაროს გარეშე ის ადგილი არ არის, სადაც ეს პლაგინი ცხოვრობს.
4. შეადარე რელიზის ფაილები წყაროს. GitHub-ზე რელიზის ბინარი კოდისგან ცალკე იტვირთება. ანგარიში, რომელიც სუფთა წყაროს და შეცვლილ jar-ს აქვეყნებს, შესაძლებელია; პროექტის ჩვეულებრივი არხიდან ჩამოტვირთვა fork-იდან ჩამოტვირთვაზე უსაფრთხოა.
5. წაიკითხე კომენტარები ბოლო განახლებებზე. უცნაური ქცევის შესახებ ცნობები ჩვეულებრივ პირველად იქ ჩნდება.
6. დაელოდე რამდენიმე დღე განახლებებს, რომლებიც არ გჭირდება. fractureiser-ის გაკვეთილი ერთ ხაზად.

ჩაიწერე, საიდან მოვიდა ყოველი ფაილი. ტექსტური ფაილი სერვერის ძირეულ საქაღალდეში ყოველი მოდით, ვერსიით, წყაროს URL-ით და თარიღით ერთი წუთი ჯდება თითო ინსტალაციაზე და ყოველ მომავალ გამოძიებას აჩქარებს.

დაქირავებული დეველოპერები, დამხმარეები და ფაილებზე წვდომა#

ვინმესთვის შენი სერვერის ფაილებზე ჩაწერის წვდომის მიცემა შენს სერვერზე კოდის გაშვების შესაძლებლობის მიცემაა. ეს ნორმალურია, როცა განზრახაა; ადამიანებისგან მომდინარე backdoor-ების უმეტესობა იმიტომ ხდება, რომ ეს კარგად არ იყო მოფიქრებული.

• ფაილებზე წვდომა რაც შეიძლება ნაკლებ ადამიანს მიეცი. პანელზე მოდერატორს კონსოლზე წვდომა სჭირდება და არა ფაილებზე. subuser-ის უფლებები გაძლევს საშუალებას მისცე მხოლოდ კონსოლი, მხოლოდ ფაილები ან ორივე, საკუთარი ანგარიშის გაზიარების გარეშე - იხილე subuser-ები და მინიმალური პრივილეგია.
• კონტრაქტორებისთვის დროში შეზღუდული წვდომა გამოიყენე. წვდომა, რომელიც თავისით იწურება, წვდომაა, რომლის მოხსნაც ვერ დაგავიწყდება.
• მოითხოვე წყარო და შეადარე, რაც მოგაწოდეს. სკრიპტულ პლატფორმებზე შეადარე საქაღალდე მათ სამუშაომდე და მის შემდეგ. კომპილირებული პლაგინებისთვის სამუშაოს ნაწილად მოითხოვე წყარო და აწყობის ინსტრუქციები.
• სამუშაოს დასრულების შემდეგ წაიკითხე სერვერის activity log და შეადარე ფაილების ცვლილების დრო იმ თარიღებს, როცა ისინი მუშაობდნენ.
• შემდეგ შეცვალე პაროლები. მონაცემთა ბაზის, RCON-ისა და ნებისმიერი ვებ-ტოკენი, რომლის წაკითხვაც დეველოპერს კონფიგ-ფაილებში შეეძლო.

ამათგან არაფერი ნიშნავს, რომ დაქირავებული დეველოპერები არასანდოა. ეს ნიშნავს, რომ ნდობა კონკრეტული და დროებითი უნდა იყოს, ხოლო backup, აღებული მათ დაწყებამდე, მათი სამუშაოს გაუქმებას შესაძლებელს ხდის.

რა ქნა, როცა ერთს იპოვი#

1. გააჩერე სერვერი და გააკეთე მისი მიმდინარე მდგომარეობის backup მტკიცებულებისთვის, შემდეგ კი იმავე სახით აღარ გაუშვა.
2. დაადგინე წყარო. რომელი ფაილი, რომელი ჩამოტვირთვა, რომელი თარიღი. აქ შენი ინსტალაციის ჩანაწერები გამოგადგება.
3. შეცვალე ყველა საიდუმლო, რომლის წაკითხვაც სერვერს შეეძლო: RCON, ადმინის პაროლები, მონაცემთა ბაზის პაროლები, webhook URL-ები, ტოკენები კონფიგებში. თუ რომელიმე მათგანი სხვაგანაც გამოგიყენებია, იქაც შეცვალე.
4. აღადგინე backup-იდან, რომელიც ამ ფაილის მოსვლამდე იყო აღებული, შემდეგ კი მოდები მათი ოფიციალური წყაროებიდან ხელახლა დაამატე, თითო ერთ ჯერზე.
5. შეამოწმე ადმინების სიები, დაგეგმილი დავალებები და გაშვების პარამეტრები, ხომ არ არის იქ რამე, რაც შენ არ დაგიყენებია.
6. უთხარი შენს მოთამაშეებს, თუ თამაში კლიენტებს კონტენტს უგზავნის, რომ საკუთარი მანქანები შეამოწმონ.

დადასტურებული გატეხვის სრული თანმიმდევრობა არის რა ქნა, როცა შენი სერვერი გატეხეს-ში. აქ მთავარი ის არის, რომ ერთი ფაილის წაშლით გაწმენდა საკმარისი არ არის, როცა კოდს სხვების ჩაწერაც შეეძლო.

RE:NODE-ზე მოდები და პლაგინები ფაილების მენეჯერით ან SFTP-ით იტვირთება, ან თამაშის საკუთარი workshop-ის მხარდაჭერით შემოდის, და გზაში არაფერი მოწმდება - რა მუშაობს შენს სერვერზე, შენი გადაწყვეტილებაა. რასაც პანელი გაძლევს, აღდგენის მხარეა: backup-ის სლოტები ყველა გეგმაზე, შენახული იმ მანქანის გარეთ, რომელსაც იცავს, აღდგენადი ერთი ღილაკით და დაბლოკვადი, რომ ცნობილი კარგი backup გამოძიების დროს როტაციით არ წაიშალოს.

FAQ#

პლაგინები SpigotMC-დან, Modrinth-იდან ან Workshop-იდან ყოველთვის უსაფრთხოა?

ისინი ბევრად უფრო უსაფრთხოა, ვიდრე ნებისმიერი სხვა რამ, მაგრამ გარანტირებული არ არის. პლატფორმები გარკვეულ განხილვას აკეთებს და მავნე პროგრამას შეტყობინების შემდეგ შლის, მაგრამ ავტორების გატეხილი ანგარიშებიც და ახალი მავნე ატვირთვებიც მომხდარა. უპირატესობა დამკვიდრებულ პროექტებს მიანიჭე და განახლებებს რამდენიმე დღე დაელოდე.

შეუძლია ანტივირუსის სკანირებას backdoor-იანი პლაგინის პოვნა?

იშვიათად. Java-ს, .NET-ისა და Lua-ს backdoor-ები Windows-ის მავნე პროგრამებს არ ჰგავს, ამიტომ ზოგადი დანიშნულების ანტივირუსი მათ ხშირად სუფთად აფასებს. კონკრეტული პლატფორმების საზოგადოებრივი სკანერები ცნობილ ნიმუშებთან უკეთ ართმევს თავს, წარმომავლობა კი კიდევ უკეთ.

უსაფრთხოა გაჟონილი პლაგინის გამოყენება, თუ კოდს შევამოწმებ?

არა. ფასიანი პლაგინები, როგორც წესი, ობფუსცირებულია, ასე რომ მათ სათანადოდ ვერ შეამოწმებ, გაჟონილი ასლები კი ზუსტად ის ადგილია, სადაც backdoor-ები თავს იყრის. ეს ამავე დროს სხვისი ფასიანი შრომაა.

შეუძლია სერვერის მოდს ჩემი მოთამაშეების დაინფიცირება?

თამაშებზე, რომლებიც კლიენტებს კონტენტს ან სკრიპტებს უგზავნის, კი. Garry's Mod და FiveM კლიენტის მხარის სკრიპტებს აგზავნის, Minecraft-ის მოდპაკები კი კოდს ყოველი მოთამაშის მანქანაზე აყენებს. მავნე მოდი იქ შენი საზოგადოებისთვის საფრთხეა და არა მხოლოდ შენი სერვერისთვის.

როგორ გავიგო, პლაგინი "სახლში რეკავს" თუ არა?

მოძებნე მის გახსნილ ფაილებში URL-ები და შეამოწმე, თითოეული პროექტს ეკუთვნის თუ არა, და თვალი ადევნე სერვერის პროცესიდან უცნობ მისამართებზე გამავალ კავშირებს. ბევრი ლეგიტიმური პლაგინი განახლებებს ამოწმებს, ასე რომ შეაფასე დანიშნულების ადგილი და არა თავად კავშირის ფაქტი.