Muutama päivä sitten ilmoitettiin, että PyPI-hakemistosta (Python-pakettihakemisto) tunnistettiin 11 haitallista koodia sisältävää pakettia .
Ennen ongelmien tunnistamista paketteja ladattiin yhteensä noin 38 000 kertaa , ja on syytä huomata, että havaitut haitalliset paketit erottuvat joukosta käyttämällä hienostuneita menetelmiä hyökkääjien palvelimien kanssa käytettävien viestintäkanavien peittämiseen.
Löydetyt paketit ovat seuraavat:
- tärkeä paketti (6305 latausta) e tärkeä-paketti (12897): nämä paketit muodostaa yhteyden ulkoiseen palvelimeen pypi.python.org-yhteyden muodostamisen varjolla tarjota komentotulkki pääsy järjestelmään (käänteinen kuori) ja käytä trevorc2-ohjelmaa viestintäkanavan piilottamiseen.
- pptest (10001) ja ipboardit (946): käytti DNS:ää tiedonsiirtokanavana järjestelmästä (ensimmäisessä paketissa isäntänimi, työhakemisto, sisäinen ja ulkoinen IP, toisessa käyttäjänimi ja isäntänimi).
- pöllönkuu (3285) DiscordSafety (557) y yiff party (1859) - Tunnista Discord-palvelutunnus järjestelmästä ja lähetä se ulkoiselle isännälle.
- trrfab (287): Lähettää / etc / passwd, / etc / hosts, / home -tunnisteen, isäntänimen ja sisällön ulkoiselle isännälle.
- 10 senttiä 10 (490) - Muodosti käänteisen kuoriyhteyden ulkoiseen isäntään.
yandex-yt (4183): näytti viestin vaarantuneesta järjestelmästä ja ohjattiin sivulle, jolla on lisätietoja lisätoimista ja joka on julkaistu nda.ya.ru:n (api.ya.cc) kautta.
Siksi mainitaan, että erityistä huomiota tulisi kiinnittää ulkoisten isäntien käyttötapaan, jota käytetään importantpackage- ja important-package-paketeissa, jotka käyttävät PyPI-luettelossa käytettyä Fastly-sisällönjakeluverkkoa aktiivisuutensa piilottamiseen.
Itse asiassa pyynnöt lähetettiin pypi.python.org-palvelimelle (mukaan lukien python.orgin nimen määrittäminen SNI:ssä HTTPS-pyynnössä), mutta hyökkääjän hallitseman palvelimen nimi asetettiin HTTP-otsikossa "Host ». Sisällönjakeluverkko lähetti vastaavan pyynnön hyökkääjän palvelimelle käyttämällä TLS-yhteyden parametreja pypi.python.org-osoitteeseen tiedonsiirrossa.
PyPI :n infrastruktuuria tukee Fastly Content Delivery Network, joka käyttää Varnishin läpinäkyvää välityspalvelinta tyypillisten pyyntöjen välimuistiin tallentamiseen ja käyttää CDN-tason TLS-varmenteiden käsittelyä päätepalvelimien sijaan HTTPS-pyyntöjen välittämiseen välityspalvelimen kautta. Kohdepalvelimesta riippumatta pyynnöt lähetetään välityspalvelimelle, joka tunnistaa halutun isännän HTTP:n "Host"-otsikon avulla, ja verkkotunnusten isäntänimet sidotaan tyypillisiin CDN-kuormituksen tasaajan IP-osoitteisiin, jotka löytyvät kaikista Fastly-asiakasohjelmista.
Hyökkääjien palvelin on rekisteröity myös CDN Fastlyyn , joka tarjoaa ilmaisia liittymiä ja sallii jopa anonyymin rekisteröitymisen. On syytä huomata, että samanlaista menetelmää käytetään pyyntöjen lähettämiseen uhrille, kun "käänteinen shell" luodaan, mutta hyökkääjän isäntä käynnistää sen. Ulkopuolelta katsottuna vuorovaikutus hyökkääjän palvelimen kanssa näyttää olevan laillinen istunto PyPI-hakemiston kanssa, joka on salattu PyPI TLS -sertifikaatilla. Samankaltaista tekniikkaa, joka tunnetaan nimellä "domain fronting", on aiemmin käytetty isäntänimen aktiiviseen salaamiseen ohittamalla lohkot. Tämä sisälsi joidenkin CDN-verkkojen tarjoaman HTTPS-vaihtoehdon käytön, valeisännän määrittämisen SNI:ssä ja pyydetyn isäntänimen välittämisen HTTP-isännän otsikossa TLS-istunnon sisällä.
Haitallisen toiminnan piilottamiseen käytettiin lisäksi TrevorC2-pakettia, joka tekee vuorovaikutuksesta palvelimen kanssa normaalin web-selailun kaltaista.
pptest- ja ipboards-paketit käyttivät erilaista lähestymistapaa verkkotoiminnan piilottamiseen, mikä perustui hyödyllisten tietojen koodaukseen DNS-palvelimelle lähetetyissä pyynnöissä. Haittaohjelmat välittävät tietoa suorittamalla DNS-kyselyitä, joissa komento- ja ohjauspalvelimelle lähetettävät tiedot koodataan käyttämällä base64-muotoa aliverkkotunnuksen nimessä. Hyökkääjä hyväksyy nämä viestit ohjaamalla toimialueen DNS-palvelinta.
Lopuksi, jos olet kiinnostunut oppimaan lisää, löydät tiedot seuraavasta linkistä.