Před několika dny bylo oznámeno, že v adresáři PyPI (index balíčků Pythonu) bylo identifikováno 11 balíčků obsahujících škodlivý kód.
Než byly problémy identifikovány, balíčky byly staženy celkem přibližně 38 000krát a stojí za zmínku, že detekované škodlivé balíčky vynikají používáním sofistikovaných metod k zakrytí komunikačních kanálů se servery útočníků.
Byly objeveny následující balíčky:
- důležitý balíček (6305 stažení) e důležitý balíček (12897): tyto balíčky navázat spojení s externím serverem pod rouškou připojení k pypi.python.org poskytnout shell přístup do systému (reverse shell) a pomocí programu trevorc2 skryjte komunikační kanál.
- pptest (10001) a ipboardy (946): používá DNS jako komunikační kanál pro přenos informací o systému (v prvním paketu název hostitele, pracovní adresář, interní a externí IP, ve druhém uživatelské jméno a název hostitele).
- owlmoon (3285) DiscordSafety (557) y yiffparty (1859) – Identifikujte token služby Discord v systému a odešlete jej externímu hostiteli.
- trrfab (287): Odešle identifikátor, název hostitele a obsah / etc / passwd, / etc / hosts, / home externímu hostiteli.
- 10 centů 10 (490) - Navázáno reverzní připojení shellu k externímu hostiteli.
yandex-yt (4183): zobrazil zprávu o kompromitovaném systému a byl přesměrován na stránku s dalšími informacemi o dalších akcích vydaných prostřednictvím nda.ya.ru (api.ya.cc).
Proto se uvádí, že zvláštní pozornost je třeba věnovat metodě přístupu k externím hostitelům používaným v paketech importantpackage a important-package, které využívají síť Fastly pro doručování obsahu používanou v katalogu PyPI ke skrytí své aktivity.
Ve skutečnosti byly požadavky odeslány na server pypi.python.org (včetně zadání názvu python.org v SNI v rámci požadavku HTTPS), ale název serveru ovládaného útočníkem byl nastaven v hlavičce HTTP „Host ». Síť pro doručování obsahu odeslala podobný požadavek na server útočníka s použitím parametrů připojení TLS k pypi.python.org při přenosu dat.
Infrastruktura PyPI je poháněna sítí Fastly Content Delivery Network, která k ukládání typických požadavků do mezipaměti používá transparentní proxy od Varnish a k přeposílání požadavků HTTPS přes proxy využívá zpracování certifikátů TLS na úrovni CDN namísto koncových serverů. Bez ohledu na cílového hostitele jsou požadavky odesílány na proxy, která identifikuje požadovaného hostitele pomocí záhlaví HTTP „Host“ a názvy hostitelů domén jsou vázány na typické IP adresy vyrovnávače zátěže CDN, které se nacházejí na všech klientech Fastly.
Server útočníků je také registrován u CDN Fastly , která nabízí bezplatné tarify a dokonce umožňuje anonymní registraci. Za zmínku stojí, že podobné schéma se používá k odesílání požadavků oběti, když je vytvořen „reverzní shell“, ale iniciován hostitelem útočníka. Zvenčí se interakce se serverem útočníka jeví jako legitimní relace s adresářem PyPI, šifrovaná pomocí TLS certifikátu PyPI. Podobná technika, známá jako „domain fronting“, byla dříve používána k aktivnímu skrytí názvu hostitele obcházením bloků. To zahrnovalo použití možnosti HTTPS poskytované některými CDN, zadání fiktivního hostitele v SNI a předání požadovaného názvu hostitele v hlavičce HTTP hostitele v rámci TLS relace.
Ke skrytí škodlivé aktivity byl navíc použit balíček TrevorC2, díky kterému je interakce se serverem podobná běžnému procházení webu.
Pakety pptest a ipboards používaly ke skrytí síťové aktivity odlišný přístup, založený na kódování užitečných informací v požadavcích na server DNS. Škodlivý software přenáší informace prováděním DNS dotazů, ve kterých jsou data přenášená na příkazový a řídicí server kódována pomocí formátu base64 v názvu subdomény. Útočník přijímá tyto zprávy ovládáním serveru DNS domény.
A konečně, pokud máte zájem dozvědět se více, podrobnosti naleznete na následujícím odkazu.