Vor einigen Tagen wurde bekannt gegeben, dass im PyPI-Verzeichnis (Python-Paketindex) 11 Pakete mit Schadcode identifiziert wurden .
Bevor die Probleme erkannt wurden, wurden die Pakete insgesamt etwa 38 Mal heruntergeladen . Besonders hervorzuheben ist, dass die entdeckten Schadprogramme durch die Verwendung ausgeklügelter Methoden zur Verschleierung der Kommunikationskanäle zu den Servern der Angreifer auffallen.
Folgende Pakete wurden entdeckt:
- wichtiges Paket (6305 Downloads) und Wichtiges Paket (12897): diese Pakete eine Verbindung zu einem externen Server herstellen unter dem Deckmantel der Verbindung zu pypi.python.org um Shell-Zugriff auf das System bereitzustellen (Umgekehrte Shell) und verwenden Sie das Programm trevorc2, um den Kommunikationskanal auszublenden.
- pptest (10001) und IP-Boards (946): nutzte DNS als Kommunikationskanal zur Informationsübertragung über das System (im ersten Paket - der Hostname, das Arbeitsverzeichnis, die interne und externe IP, im zweiten - der Benutzername und der Hostname).
- Eulenmond (3285) DiscordSafety (557) y Yiffparty (1859): Identifiziert den Discord-Dienst-Token im System und sendet ihn an einen externen Host.
- trrfab (287): Senden Sie die Kennung, den Hostnamen und den Inhalt von /etc/passwd, /etc/hosts, /home an einen externen Host.
- 10Cent10 (490) – Es wurde eine Reverse-Shell-Verbindung zu einem externen Host hergestellt.
yandex-yt (4183) – zeigte eine Meldung über das kompromittierte System und leitete zu einer Seite mit zusätzlichen Informationen zu weiteren Aktionen weiter, ausgegeben über nda.ya.ru (api.ya.cc).
Daher wird darauf hingewiesen, dass der Methode des Zugriffs auf externe Hosts, die in den Paketen importantpackage und important-package verwendet wird, besondere Aufmerksamkeit gewidmet werden sollte. Diese Pakete nutzen das im PyPI-Katalog verwendete Content Delivery Network Fastly, um ihre Aktivitäten zu verbergen.
Tatsächlich wurden die Anfragen an den Server pypi.python.org gesendet (einschließlich der Angabe des python.org-Namens in SNI innerhalb der HTTPS-Anfrage), aber der vom Angreifer kontrollierte Servername wurde im HTTP-Header „Host“ festgelegt. ». Das Content-Delivery-Netzwerk sendete eine ähnliche Anfrage an den Server des Angreifers und nutzte bei der Datenübertragung die Parameter der TLS-Verbindung zu pypi.python.org.
Die PyPI -Infrastruktur basiert auf dem Fastly Content Delivery Network (CDN). Dieses nutzt den transparenten Proxy von Varnish, um typische Anfragen zwischenzuspeichern und HTTPS-Anfragen über den Proxy mittels TLS-Zertifikatsverarbeitung auf CDN-Ebene (anstatt über Endpunktserver) weiterzuleiten. Unabhängig vom Zielhost werden Anfragen an den Proxy gesendet, der den gewünschten Host anhand des HTTP-Headers „Host“ identifiziert. Domainnamen werden dann an typische CDN-Load-Balancer-IP-Adressen gebunden, die auf allen Fastly-Clients verfügbar sind.
Der Server der Angreifer ist auch beim CDN Fastly registriert , das kostenlose Tarife anbietet und sogar eine anonyme Registrierung ermöglicht. Bemerkenswert ist, dass ein ähnliches Schema verwendet wird, um Anfragen an das Opfer zu senden, wenn eine „Reverse Shell“ erstellt wird – allerdings initiiert vom Host des Angreifers. Von außen betrachtet erscheint die Interaktion mit dem Server des Angreifers wie eine legitime Sitzung mit dem PyPI-Verzeichnis, verschlüsselt mit dem PyPI-TLS-Zertifikat. Eine ähnliche Technik, bekannt als „Domain Fronting“, wurde zuvor verwendet, um den Hostnamen aktiv zu verschleiern und Sperren zu umgehen. Dabei wurde die HTTPS-Option einiger CDNs genutzt, der Dummy-Host in der SNI angegeben und der angeforderte Hostname im HTTP-Host-Header innerhalb einer TLS-Sitzung übergeben.
Um die bösartige Aktivität zu verbergen, wurde zusätzlich das TrevorC2-Paket verwendet, wodurch die Interaktion mit dem Server dem normalen Surfen im Internet ähnelt.
Die Pakete pptest und ipboards verwendeten einen anderen Ansatz zum Verbergen der Netzwerkaktivität, der auf der Verschlüsselung nützlicher Informationen in Anfragen an den DNS-Server basierte. Schädliche Software übermittelt Informationen, indem sie DNS-Abfragen durchführt, bei denen die an den Befehls- und Kontrollserver übermittelten Daten im Base64-Format im Subdomainnamen kodiert werden. Ein Angreifer akzeptiert diese Nachrichten, indem er den DNS-Server der Domäne kontrolliert.
Sollten Sie mehr erfahren wollen, finden Sie die Details unter folgendem Link.