Mõni päev tagasi teatati, et PyPI kataloogist (Pythoni paketi indeks) tuvastati 11 pahatahtlikku koodi sisaldavat paketti.
Enne probleemide tuvastamist laaditi pakette alla kokku ligikaudu 38 000 korda ning väärib märkimist, et tuvastatud pahatahtlikud paketid paistavad silma keerukate meetodite kasutamise poolest ründajate serveritega suhtlemise kanalite varjamiseks.
Avastatud pakendid on järgmised:
- oluline pakett (6305 allalaadimist) e oluline-pakett (12897): need paketid luua ühendus välise serveriga pypi.python.org-iga ühenduse loomise varjus kesta juurdepääsu võimaldamiseks süsteemile (tagurpidi kest) ja kasutage sidekanali peitmiseks programmi trevorc2.
- pptest (10001) ja ipboardid (946): kasutas teabe edastamiseks sidekanalina DNS-i süsteemi kohta (esimeses paketis hostinimi, töökataloog, sisemine ja väline IP, teises kasutajanimi ja hostinimi).
- öökullikuu (3285) DiscordSafety (557) y yiffparty (1859) – tuvastage süsteemis Discordi teenusemärk ja saatke see välisele hostile.
- trrfab (287): saadab / etc / passwd, / etc / hosts, / home identifikaatori, hostinime ja sisu välisele hostile.
- 10 senti 10 (490) – loodud välise hostiga pöördkestaühendus.
yandex-yt (4183): näitas teadet ohustatud süsteemi kohta ja suunati lehele, kus on lisateavet lisatoimingute kohta, välja antud nda.ya.ru (api.ya.cc) kaudu.
Seetõttu mainitakse, et erilist tähelepanu tuleks pöörata pakettides „importantpackage“ ja „important-package“ kasutatavale välistele hostidele juurdepääsu meetodile , mis kasutavad oma tegevuse varjamiseks PyPI kataloogis kasutatavat Fastly sisuedastusvõrku.
Tegelikult saadeti päringud serverisse pypi.python.org (sealhulgas määrati HTTPS-i päringus SNI-s python.org nimi), kuid ründaja kontrollitava serveri nimi määrati HTTP päises "Host ». Sisu edastamise võrk saatis sarnase päringu ründaja serverile, kasutades andmete edastamisel TLS-ühenduse parameetreid aadressile pypi.python.org.
PyPI infrastruktuuri toetab Fastly Content Delivery Network, mis kasutab tüüpiliste päringute vahemällu salvestamiseks Varnishi läbipaistvat puhverserverit ja HTTPS-päringute edastamiseks puhverserveri kaudu CDN-taseme TLS-sertifikaatide töötlemist, mitte lõpp-servereid. Sihtkoha hostist olenemata saadetakse päringud puhverserverile, mis tuvastab soovitud hosti HTTP "Host" päise abil, ja domeeni hostinimed on seotud tüüpiliste CDN-i koormuse tasakaalustaja IP-aadressidega, mida leidub kõigil Fastly klientidel.
Ründajate server on registreeritud ka CDN-is Fastly , mis pakub tasuta pakette ja lubab isegi anonüümset registreerimist. Tasub märkida, et sarnast skeemi kasutatakse ohvrile päringute saatmiseks, kui luuakse "pöördkest", kuid selle algatab ründaja host. Väljastpoolt vaadates näib suhtlus ründaja serveriga olevat õigustatud seanss PyPI kataloogiga, mis on krüpteeritud PyPI TLS-sertifikaadiga. Sarnast tehnikat, mida tuntakse kui "domeeni fronteerimist", kasutati varem hostinime aktiivseks varjamiseks plokkidest mööda minnes. See hõlmas mõnede CDN-ide pakutava HTTPS-valiku kasutamist, SNI-s näivhosti määramist ja taotletud hostinime edastamist HTTP-hosti päises TLS-seansi sees.
Pahatahtliku tegevuse varjamiseks kasutati lisaks TrevorC2 paketti, mis muudab suhtlemise serveriga sarnaseks tavalise veebisirvimisega.
Paketid pptest ja ipboards kasutasid võrgutegevuse peitmiseks erinevat lähenemisviisi, mis põhines kasuliku teabe kodeerimisel DNS-serveri päringutes. Pahatahtlik tarkvara edastab teavet DNS-päringute sooritamise teel, mille käigus käsu- ja juhtimisserverisse edastatavad andmed kodeeritakse alamdomeeni nimes base64-vormingus. Ründaja võtab need sõnumid vastu, kontrollides domeeni DNS-serverit.
Lõpuks, kui olete huvitatud lisateabest, leiate üksikasjad järgmiselt lingilt.