---

अवलोकन

CASE-002 29 मार्च 2024 को उजागर हुए XZ Utils / liblzma बैकडोर को CVE-2024-3094 के रूप में पुनर्निर्मित करता है।

यह रिपोर्ट इस ऑपरेशन का अनुसरण दीर्घकालिक मेंटेनर विश्वास और रिलीज़ अधिकार से लेकर, समीक्षित Git स्रोत और वितरित रिलीज़ टारबॉल के बीच के अंतर, बिल्ड-टाइम पेलोड निष्कर्षण, liblzma संशोधन, sshd तक ट्रांज़िटिव डिपेंडेंसी पथ, GNU IFUNC / डायनामिक-लिंकर दुरुपयोग, और ऑपरेटर-केवल प्री-ऑथेंटिकेशन ट्रिगर तक करती है।

ध्यान केवल इस पर नहीं है कि बैकडोर ने क्या किया, बल्कि इस पर है कि कई वैध विश्वास संबंधों को एक निष्पादन पथ में कैसे परिवर्तित किया गया।

मुख्य सबक: स्रोत समीक्षा रिलीज़ सत्यापन नहीं है, और एक हस्ताक्षरित अपस्ट्रीम आर्टिफैक्ट उतना ही भरोसेमंद होता है जितना उसे बनाने वाला मानव और बिल्ड प्रक्रिया।

रिपोर्ट पढ़ें

रिपॉज़िटरी में रिपोर्ट खोलें →
v1.0.0 रिलीज़ एसेट डाउनलोड करें →

इंटीग्रिटी जाँच: report/SHA256SUMS.txt

एक नज़र में हमला श्रृंखला

Contributor trust
    ↓
Maintainer / release authority
    ↓
Opaque test artifacts
    ↓
Tarball-specific build logic
    ↓
Build-time malicious object extraction
    ↓
Payload linked into liblzma
    ↓
Trusted distro package build
    ↓
Transitive load into sshd
    ↓
IFUNC / loader-time symbol redirection
    ↓
Operator-only cryptographic SSH trigger
    ↓
Pre-authentication bypass / command capability

मुख्य निष्कर्ष

निष्कर्ष	यह क्यों मायने रखता है
मेंटेनर विश्वास शोषण श्रृंखला का हिस्सा था	हमलावर ने अंतिम चरण में केवल एक पैकेज खाता चुराने के बजाय एक वैध परियोजना भूमिका के भीतर से काम किया।
Git स्रोत और रिलीज़ टारबॉल सुरक्षा-समतुल्य नहीं थे	रिलीज़-केवल जनरेट किए गए बिल्ड लॉजिक ने एक ऐसा पथ पेश किया जिसे सामान्य Git समीक्षा उजागर नहीं करती थी।
अपारदर्शी परीक्षण डेटा निष्पादन योग्य बिल्ड इनपुट बन गया	तैयार किए गए .xz / .lzma फिक्स्चर में छिपे हुए चरण थे जो संकलन के दौरान पुनर्प्राप्त किए गए।
पेलोड एक ट्रांज़िटिव डिपेंडेंसी पथ पर निर्भर था	OpenSSH स्वयं बैकडोर नहीं था; liblzma वितरण-विशिष्ट systemd एकीकरण के माध्यम से चयनित sshd बिल्ड तक अप्रत्यक्ष रूप से पहुँचा।
रनटाइम सक्रियण जानबूझकर संकीर्ण था	प्लेटफ़ॉर्म, बिल्ड, प्रक्रिया, वातावरण और क्रिप्टोग्राफिक गेट्स ने आकस्मिक जोखिम और विश्लेषण को कम किया।
खोज विसंगति जाँच से हुई	CPU, विलंबता और Valgrind अनियमितताओं ने एक सप्लाई-चेन समझौता उजागर किया जिसे स्थिर विश्वास संकेतों ने स्वीकार कर लिया था।

रिपोर्ट में क्या शामिल है

1. घटना प्रोफ़ाइल और विश्वास मॉडल
2. XZ Utils का रणनीतिक महत्व
3. 2021–2024 विश्वास और रिलीज़ टाइमलाइन
4. मेंटेनर विश्वास / सोशल-इंजीनियरिंग आयाम
5. Git बनाम रिलीज़-टारबॉल असंगति
6. बिल्ड-चरण निष्कर्षण और पेलोड इंजेक्शन
7. प्लेटफ़ॉर्म लक्ष्यीकरण और विरोधी-विश्लेषण शर्तें
8. sshd → libsystemd → liblzma डिपेंडेंसी पथ
9. GNU IFUNC / डायनामिक-लिंकर दुरुपयोग
10. क्रिप्टोग्राफिक ऑपरेटर ट्रिगर और प्री-ऑथ एक्सेस
11. प्रदर्शन / Valgrind विसंगतियों के माध्यम से खोज
12. Debian, Fedora, Kali और RHEL एक्सपोज़र विश्लेषण
13. उपचार और विश्वास पुनर्स्थापन
14. प्रतिनिधि MITRE ATT&CK मैपिंग
15. मूल विश्वास-सीमा हमला-पथ पुनर्निर्माण
16. डिटेक्शन परिकल्पनाएँ और नियंत्रण ब्लूप्रिंट
17. रेड टीम / अनुसंधान अनुकरण नोट्स
18. सामान्य भ्रांतियाँ, शब्दावली और प्राथमिक स्रोत

मूल विश्लेषण परत

यह केस स्टडी जानबूझकर घटना सारांश से आगे जाती है।

विश्वास-सीमा पुनर्निर्माण

रिपोर्ट विश्वास के छह रूपांतरणों का मानचित्रण करती है:

contributor → maintainer → release artifact → distro package → runtime library → SSH control path

प्रत्येक रूपांतरण बिंदु पर, यह हमलावर के लाभ और एक रक्षात्मक चोक पॉइंट की पहचान करती है।

डिटेक्शन परिकल्पनाएँ

विश्लेषण घटना को परीक्षण योग्य परिकल्पनाओं में बदलता है, जिनके आसपास:

• टैग बनाम रिलीज़-आर्टिफैक्ट पुनरुत्पादकता
• अपारदर्शी परीक्षण फिक्स्चर का निष्पादन योग्य बिल्ड इनपुट बनना
• बिल्ड प्रोवेनेंस और लिंकर इनपुट
• विशेषाधिकार प्राप्त डेमन के भीतर अप्रत्याशित लाइब्रेरी
• प्री-ऑथेंटिकेशन CPU / विलंबता प्रतिगमन
• मेंटेनर-भूमिका उन्नयन और रिलीज़ गवर्नेंस

रेड टीम / अनुसंधान नोट्स

अनुकरण अनुभाग सुरक्षित विश्वास-पथ परीक्षण पर केंद्रित है, जैसे कि सौम्य टारबॉल/स्रोत असंगतियाँ और डिपेंडेंसी-पथ सत्यापन, बिना किसी कार्यशील SSH प्रमाणीकरण बैकडोर की आवश्यकता के।

महत्वपूर्ण भेद

• XZ 5.6.0 / 5.6.1 एक्सपोज़र सफल शोषण का प्रमाण नहीं है।
• OpenSSH समझौता किया गया अपस्ट्रीम प्रोजेक्ट नहीं था। दुर्भावनापूर्ण कोड liblzma द्वारा ले जाया गया था।
• systemd और glibc "बैकडोर" नहीं थे। सामान्य डिपेंडेंसी और रनटाइम तंत्रों का दुरुपयोग किया गया था।
• Git रिपॉज़िटरी पूर्ण अर्थ में स्वच्छ नहीं थी। तैयार किए गए परीक्षण आर्टिफैक्ट और प्रारंभिक कमिट वहाँ मौजूद थे; निर्णायक प्रारंभिक बिल्ड पथ अतिरिक्त रूप से रिलीज़ टारबॉल में मौजूद था।
• एक हस्ताक्षर गवर्नेंस समस्या का समाधान नहीं करता। एक विश्वसनीय रिलीज़ प्राधिकारी वैध रूप से एक दुर्भावनापूर्ण आर्टिफैक्ट पर हस्ताक्षर कर सकता है।

रक्षात्मक विषय

• सुरक्षा-संवेदनशील रिलीज़ के लिए दो-व्यक्ति अनुमोदन
• हर्मेटिक और पुनरुत्पादक रिलीज़ जनरेशन
• अनिवार्य टैग-से-टारबॉल तुलना
• जनरेट की गई फ़ाइलों और बाइनरी परीक्षण फिक्स्चर के लिए प्रोवेनेंस
• स्वतंत्र डाउनस्ट्रीम पुनर्निर्माण
• प्रमाणीकरण डेमन के लिए न्यूनतम ट्रांज़िटिव डिपेंडेंसी
• सैनिटाइज़र और प्रदर्शन-प्रतिगमन परीक्षण के साथ स्टेजिंग रिंग
• आवधिक मेंटेनर / रिलीज़-भूमिका समीक्षा

पुनरुत्पादक प्रकाशन

PDF को .github/workflows/publish-report.yml द्वारा संस्करण-नियंत्रित HTML/CSS से जनरेट किया जाता है।

वर्कफ़्लो बॉडी और समर्पित कवर को अलग-अलग रेंडर करता है, उन्हें मर्ज करता है, SHA-256 की गणना करता है, जनरेट किए गए PDF को कमिट करता है और रिलीज़ एसेट प्रकाशित करता है। यह प्रकाशन को स्वयं केस के केंद्रीय सबक के अनुरूप रखता है: स्रोत से आर्टिफैक्ट तक का पथ अवलोकनीय और पुनरुत्पादक होना चाहिए।

कार्यप्रणाली

पूर्वव्यापी टिप्पणी पर प्राथमिक साक्ष्य को प्राथमिकता दी जाती है। रिपोर्ट पुष्ट तकनीकी व्यवहार, परियोजना रिकॉर्ड, वितरण एक्सपोज़र, बाद के रिवर्स इंजीनियरिंग और विश्लेषणात्मक निष्कर्षों को अलग करती है।

देखें docs/METHODOLOGY.md और docs/REFERENCES.md।

रिपॉज़िटरी संरचना

.
├── .github/workflows/
│   └── publish-report.yml
├── assets/
│   └── cover-mobile-safe.svg
├── docs/
│   ├── METHODOLOGY.md
│   └── REFERENCES.md
├── report/
│   ├── cover.html
│   ├── source.html
│   ├── XZ_Utils_Backdoor_Case_Study_Michel-DV.pdf
│   └── SHA256SUMS.txt
├── CHANGELOG.md
├── CITATION.cff
├── DISCLAIMER.md
├── RELEASE_NOTES.md
├── LICENSE
└── README.md

उद्धरण