جائزہ
README میں Windows x64 پیکیج کا ذکر ہے جسے TRX Drainer Bot کہا گیا ہے اور اسے ٹیسٹنگ اور ڈیولپمنٹ کے لیے پہلے سے فعال اسٹینڈ الون بلڈ کے طور پر پیش کیا گیا ہے۔ تاہم، پروجیکٹ کا نام اور اس کا بظاہر مقصد کرپٹو کرنسی والیٹ خالی کرنے والے ٹول کی طرف اشارہ کرتے ہیں، جبکہ انسٹالیشن کی ہدایات منتظمین کو ایک ریموٹ PowerShell اسکرپٹ ڈاؤن لوڈ اور چلانے کی ہدایت دیتی ہیں۔
یہ امتزاج سکیورٹی کے حوالے سے ایک سنگین انتباہ ہے۔ منتظم کے اختیارات کے ساتھ چلایا جانے والا ریموٹ اسکرپٹ سسٹم کی ترتیبات تبدیل کر سکتا ہے، اضافی سافٹ ویئر انسٹال کر سکتا ہے، فائلوں تک رسائی حاصل کر سکتا ہے، اور اسناد یا کرپٹو کرنسی اثاثے چرانے کی کوشش کر سکتا ہے۔ ذاتی یا پروڈکشن کمپیوٹر پر README میں موجود کمانڈز نہ چلائیں۔
ریپوزٹری زیادہ خطرناک کیوں ہے
- یہ صارفین سے نامعلوم بیرونی ڈومین سے براہِ راست کوڈ چلانے کا مطالبہ کرتی ہے۔
- کمانڈ منتظم کے اختیارات استعمال کرتی ہے، جس سے اسکرپٹ کو سسٹم تک وسیع رسائی مل جاتی ہے۔
- README تجویز کرتی ہے کہ اگر Windows سیٹ اپ کو روک دے تو اینٹی وائرس تحفظ کو غیر فعال یا موقوف کر دیا جائے۔
- یہ پروجیکٹ واضح طور پر کرپٹو ڈرینر سے وابستہ ہے، جو ایسا سافٹ ویئر ہے جو عموماً ڈیجیٹل اثاثے چرانے کے لیے استعمال ہوتا ہے۔
- پہلے سے فعال اور اسٹینڈ الون تقسیم کا دعویٰ اس بات کا ثبوت نہیں کہ سافٹ ویئر جائز یا محفوظ ہے۔
محفوظ انسٹالیشن اور سیٹ اپ کا طریقہ
عام Windows ورک اسٹیشن پر اس پیکیج کو انسٹال کرنے کی کوئی محفوظ وجہ نہیں ہے۔ اس کے بجائے، ریپوزٹری کو صرف تجزیے کے لیے محفوظ رکھیں اور اس کا پے لوڈ ڈاؤن لوڈ کرنے سے گریز کریں۔ اگر واقعے کے ردِعمل یا تحقیق کے لیے اس کی جانچ ضروری ہو تو ایک الگ تھلگ، عارضی ورچوئل مشین استعمال کریں جس میں ذاتی اکاؤنٹس، والیٹ ایکسٹینشنز، نجی کلیدیں یا قیمتی فائلیں موجود نہ ہوں۔
- PowerShell میں فراہم کردہ ریموٹ URL نہ کھولیں۔
- اسکرپٹ چلانے کے لیے execution-policy تحفظات کو نظرانداز نہ کریں۔
- Microsoft Defender، SmartScreen یا دیگر سکیورٹی کنٹرولز کو غیر فعال نہ کریں۔
- الگ تجزیاتی ماحول استعمال کریں اور نیٹ ورکنگ غیر فعال رکھیں، سوائے اس صورت کے جب کنٹرول شدہ ٹریفک کیپچر ضروری ہو۔
- ڈاؤن لوڈ کی گئی فائلوں کا جائزہ لینے سے پہلے صاف اسنیپ شاٹ بنائیں۔
- چلانے سے پہلے کسی اہل سکیورٹی تجزیہ کار سے اسکرپٹ اور اس کے ہیشز کا جائزہ لیں۔
README کا محفوظ جائزہ کیسے لیں
عمل درآمد کے بجائے جامد معائنے سے آغاز کریں۔ ریموٹ ڈاؤن لوڈز، انکوڈ شدہ PowerShell، مستقل موجودگی کے طریقۂ کار، اسناد جمع کرنے، براؤزر والیٹ تک رسائی، شیڈول شدہ ٹاسکس، رجسٹری میں تبدیلیوں، اور سکیورٹی کنٹرولز کو کمزور کرنے والی کمانڈز تلاش کریں۔ run as Administrator، disable real-time protection یا ignore SmartScreen جیسے فقرات پر مشتمل ہدایات کو بڑے خطرے کی علامات سمجھیں۔
ریپوزٹری کی تاریخ، اکاؤنٹ کی عمر، ریلیز اثاثوں، ڈومین رجسٹریشن اور آزاد ساکھ رپورٹس کی جانچ کریں۔ فائل کا بڑا سائز، “pre-activated” کا دعویٰ یا سرچ انجن پر توجہ مرکوز کرنے والے کلیدی الفاظ صداقت ثابت نہیں کرتے۔ کسی غیر معتبر ذریعے سے حاصل کردہ سافٹ ویئر میں کبھی بھی seed phrase، نجی کلید، ایکسچینج پاس ورڈ یا والیٹ کی منظوری درج نہ کریں۔
اگر آپ پہلے ہی کمانڈ چلا چکے ہیں
- کمپیوٹر کو انٹرنیٹ سے منقطع کریں اور اسے والیٹ یا مالی سرگرمی کے لیے استعمال کرنا روک دیں۔
- ایک الگ معتبر ڈیوائس سے اہم پاس ورڈز تبدیل کریں اور فعال سیشنز منسوخ کریں۔
- اپنے ایکسچینج یا والیٹ فراہم کنندہ سے اس کے سرکاری سپورٹ چینل کے ذریعے رابطہ کریں۔
- اگر مناسب ہو اور محفوظ طریقے سے ممکن ہو تو باقی ڈیجیٹل اثاثے صاف ڈیوائس پر تیار کیے گئے نئے والیٹ میں منتقل کریں۔
- تحقیق کے لیے لاگز، ڈاؤن لوڈ کی گئی فائلیں، ٹائم اسٹیمپس اور اصل README محفوظ کریں۔
- مکمل آف لائن سکیورٹی اسکین چلائیں یا سسٹم کا پیشہ ورانہ معائنہ کرائیں۔ زیادہ قابلِ اعتماد بحالی کے لیے یہ فرض کرنے کے بجائے کہ ایک فائل ہٹانا کافی ہے، معتبر میڈیا سے Windows دوبارہ انسٹال کریں۔
اعلیٰ درجے کی دفاعی تجاویز
ادارے درج ڈومین کو بلاک کر سکتے ہیں، غیر دستخط شدہ PowerShell اسکرپٹس کو محدود کر سکتے ہیں، ایپلیکیشن allowlisting لازمی بنا سکتے ہیں، اور PowerShell کے ذریعے شروع ہونے والے مشتبہ child processes کی نگرانی کر سکتے ہیں۔ Endpoint telemetry کو credential-store تک رسائی، براؤزر ایکسٹینشنز میں تبدیلی، شیڈول شدہ ٹاسک بنانے اور سکیورٹی مصنوعات کو غیر فعال کرنے کی کوششوں پر بھی انتباہ دینا چاہیے۔
مالویئر تجزیے کے لیے نامعلوم executable فائلیں کھولے بغیر ان کے فائل ہیشز بنائیں، اسکرپٹس کا جائزہ ٹیکسٹ ایڈیٹر یا مخصوص sandbox میں لیں، اور کنٹرول شدہ DNS اور HTTP لاگنگ کے ساتھ نیٹ ورک الگ تھلگ رکھیں۔ غیر معتبر سافٹ ویئر کی جانچ کے دوران کبھی بھی پروڈکشن والیٹ متصل نہ کریں اور نہ ہی بلاک چین ٹرانزیکشن پر دستخط کریں۔
نتیجہ
README کوئی قابلِ اعتماد ڈیولپمنٹ سیٹ اپ فراہم نہیں کرتی؛ یہ کرپٹو کرنسی چوری سے وابستہ غیر تصدیق شدہ، منتظم کی سطح کے ریموٹ اسکرپٹ کو چلانے کی ہدایات فراہم کرتی ہے۔ محفوظ ترین طریقہ یہ ہے کہ اسے انسٹال نہ کریں، Windows کے تحفظات کو کمزور نہ کریں، اور سابقہ عمل درآمد کو ممکنہ سکیورٹی واقعہ سمجھیں۔