Néhány nappal ezelőtt bejelentették, hogy 11, kártékony kódot tartalmazó csomagot azonosítottak a PyPI könyvtárban (Python csomagindex).
A problémák azonosítása előtt a csomagokat összesen körülbelül 38 000 alkalommal töltötték le , és érdemes megjegyezni, hogy az észlelt rosszindulatú csomagok kifinomult módszereket alkalmaznak a támadók szervereivel való kommunikációs csatornák elrejtésére.
A felfedezett csomagok a következők:
- fontos csomag (6305 letöltés) e fontos-csomag (12897): ezek a csomagok létesítsen kapcsolatot egy külső szerverrel a pypi.python.org webhelyhez való csatlakozás leple alatt hogy shell hozzáférést biztosítson a rendszerhez (fordított shell), és használja a trevorc2 programot a kommunikációs csatorna elrejtésére.
- ppteszt (10001) és ipboardok (946): a DNS-t használta kommunikációs csatornaként az információk továbbítására a rendszerről (az első csomagban a gépnév, a munkakönyvtár, a belső és külső IP, a másodikban a felhasználónév és a gazdagépnév).
- bagolyhold (3285), DiscordSafety (557) és yiffparty (1859) - Azonosítsa a Discord szolgáltatási tokent a rendszeren, és küldje el egy külső gazdagépnek.
- trrfab (287): Külső gazdagépnek küldi el az / etc / passwd, / etc / hosts / home azonosítóját, gazdagépnevét és tartalmát.
- 10 cent10 (490) - Fordított shell-kapcsolat létrehozása egy külső gazdagéphez.
yandex-yt (4183): üzenetet jelentetett meg a feltört rendszerről, és átirányított egy oldalra, amely további információkat tartalmaz a további műveletekről, az nda.ya.ru (api.ya.cc) webhelyen keresztül.
Ezért említésre kerül, hogy különös figyelmet kell fordítani az importantpackage és important-package csomagokban használt külső hosztok elérésének módszerére , amelyek a PyPI katalógusban használt Fastly tartalomszolgáltató hálózatot használják tevékenységük elrejtésére.
Valójában a kérések a pypi.python.org szervernek lettek elküldve (beleértve a python.org nevének megadását az SNI-ben a HTTPS kérésben), de a támadó által vezérelt szerver neve be lett állítva a HTTP fejlécben: "Host ». A tartalomszolgáltató hálózat hasonló kérést küldött a támadó szerverének, adatátvitelkor a pypi.python.org TLS-kapcsolat paramétereit használva.
A PyPI infrastruktúráját a Fastly Content Delivery Network működteti, amely a Varnish transzparens proxyját használja a tipikus kérések gyorsítótárazásához, és CDN-szintű TLS-tanúsítványfeldolgozást alkalmaz a HTTPS-kérések proxyn keresztüli továbbításához a végpontszerverek helyett. A célállomástól függetlenül a kérések a proxyhoz kerülnek, amely a HTTP „Host” fejléc alapján azonosítja a kívánt gazdagépet, és a domain hostnevek a Fastly összes kliensén megtalálható tipikus CDN terheléselosztó IP-címekhez vannak kötve.
A támadók szervere a Fastly CDN-nél is regisztrálva van , amely ingyenes csomagokat kínál, sőt névtelen regisztrációt is lehetővé tesz. Érdemes megjegyezni, hogy hasonló sémát használnak a kérések küldésére az áldozatnak, amikor egy „fordított shell” jön létre, de azt a támadó gazdagépe kezdeményezi. Kívülről a támadó szerverével való interakció egy legitim munkamenetnek tűnik a PyPI könyvtárral, amely a PyPI TLS tanúsítvánnyal titkosítva van. Egy hasonló technikát, az úgynevezett „domain frontingot” korábban alkalmazták a gazdagépnév aktív elrejtésére a blokkok megkerülésével. Ez magában foglalta egyes CDN-ek által biztosított HTTPS opció használatát, a dummy host megadását az SNI-ben, és a kért gazdagépnév átadását a HTTP host headerben egy TLS munkameneten belül.
A rosszindulatú tevékenység elrejtésére a TrevorC2 csomagot is használták, amely a szerverrel való interakciót a normál webböngészéshez hasonlóvá teszi.
A pptest és az ipboards csomagok eltérő megközelítést alkalmaztak a hálózati tevékenységek elrejtésére, a DNS-kiszolgálóhoz intézett kérésekben található hasznos információk kódolása alapján. A rosszindulatú szoftverek DNS-lekérdezések végrehajtásával továbbítják az információkat, amelyek során a parancs- és vezérlőszervernek továbbított adatokat a base64 formátum használatával kódolják az aldomainnévben. A támadó a tartomány DNS-kiszolgálójának vezérlésével fogadja el ezeket az üzeneteket.
Végül, ha további részletekre vagy kíváncsi, a következő linken megtalálod a részleteket .