Beberapa hari yang lalu, telah diumumkan bahawa 11 pakej yang mengandungi kod berniat jahat telah dikenal pasti dalam direktori PyPI (indeks pakej Python).
Sebelum masalah dikenal pasti, pakej tersebut telah dimuat turun kira-kira 38 kali secara keseluruhan , dan perlu diingatkan bahawa pakej berniat jahat yang dikesan menonjol kerana penggunaan kaedah canggihnya untuk menyembunyikan saluran komunikasi dengan pelayan penyerang.
Pakej yang ditemui adalah seperti berikut:
- pakej penting (6305 muat turun) e pakej penting (12897): pakej-pakej ini mewujudkan sambungan ke pelayan luaran dengan berselindung untuk menyambung ke pypi.python.org untuk menyediakan akses shell kepada sistem (cangkang terbalik) dan gunakan program trevorc2 untuk menyembunyikan saluran komunikasi.
- pptest (10001) dan ipboards (946): menggunakan DNS sebagai saluran komunikasi untuk memindahkan maklumat mengenai sistem (dalam paket pertama, nama hos, direktori kerja, IP dalaman dan luaran, dalam paket kedua, nama pengguna dan nama hos).
- bulan hantu (3285), DiscordSafety (557) y yiffparty (1859) - Kenal pasti token perkhidmatan Discord pada sistem dan hantarkannya kepada hos luaran.
- trrfab (287): Menghantar pengecam, nama hos dan kandungan / etc / passwd, / etc / hos, / rumah kepada hos luaran.
- 10sen10 (490) - Mewujudkan sambungan cangkerang terbalik kepada hos luaran.
yandex-yt (4183): menunjukkan mesej tentang sistem yang terjejas dan diubah hala ke halaman dengan maklumat tambahan tentang tindakan tambahan, yang dikeluarkan melalui nda.ya.ru (api.ya.cc).
Oleh itu, dinyatakan bahawa perhatian khusus harus diberikan kepada kaedah mengakses hos luaran yang digunakan dalam paket importantpackage dan important-package, yang menggunakan rangkaian penghantaran kandungan Fastly yang digunakan dalam katalog PyPI untuk menyembunyikan aktiviti mereka.
Sebenarnya, permintaan telah dihantar ke pelayan pypi.python.org (termasuk menyatakan nama python.org dalam SNI dalam permintaan HTTPS), tetapi nama pelayan yang dikawal oleh penyerang telah ditetapkan dalam pengepala HTTP "Host ». Rangkaian penghantaran kandungan menghantar permintaan yang serupa kepada pelayan penyerang, menggunakan parameter sambungan TLS ke pypi.python.org semasa menghantar data.
Infrastruktur PyPI dikuasakan oleh Fastly Content Delivery Network, yang menggunakan proksi telus Varnish untuk menyimpan permintaan biasa dalam cache dan menggunakan pemprosesan sijil TLS peringkat CDN, bukannya pelayan titik akhir, untuk menghantar permintaan HTTPS melalui proksi. Terlepas dari hos destinasi, permintaan dihantar ke proksi, yang mengenal pasti hos yang diingini oleh pengepala "Hos" HTTP, dan nama hos domain terikat pada alamat IP pengimbang beban CDN biasa yang terdapat pada semua klien Fastly.
Pelayan penyerang juga berdaftar dengan CDN Fastly , yang menawarkan pelan percuma dan juga membenarkan pendaftaran tanpa nama. Perlu diingatkan bahawa skema serupa digunakan untuk menghantar permintaan kepada mangsa apabila "shell terbalik" dicipta, tetapi dimulakan oleh hos penyerang. Dari luar, interaksi dengan pelayan penyerang nampaknya merupakan sesi yang sah dengan direktori PyPI, yang disulitkan dengan sijil TLS PyPI. Teknik serupa, yang dikenali sebagai "domain fronting," sebelum ini digunakan untuk menyembunyikan nama hos secara aktif dengan memintas blok. Ini melibatkan penggunaan pilihan HTTPS yang disediakan oleh beberapa CDN, menentukan hos dummy dalam SNI dan menghantar nama hos yang diminta dalam pengepala hos HTTP dalam sesi TLS.
Untuk menyembunyikan aktiviti berniat jahat, pakej TrevorC2 juga digunakan, yang menjadikan interaksi dengan pelayan serupa dengan penyemakan imbas web biasa.
Paket pptest dan ipboards menggunakan pendekatan berbeza untuk menyembunyikan aktiviti rangkaian, berdasarkan pengekodan maklumat berguna dalam permintaan kepada pelayan DNS. Perisian hasad menghantar maklumat dengan melakukan pertanyaan DNS, di mana data yang dihantar ke pelayan arahan dan kawalan dikodkan menggunakan format base64 dalam nama subdomain. Penyerang menerima mesej ini dengan mengawal pelayan DNS domain.
Akhir sekali, jika anda berminat untuk mengetahui lebih lanjut, anda boleh mendapatkan butiran lanjut di pautan berikut.