Enkele dagen geleden werd bekendgemaakt dat er 11 pakketten met kwaadaardige code waren gevonden in de PyPI-directory (Python-pakketindex).
Voordat de problemen werden vastgesteld, werden de pakketten in totaal ongeveer 38 keer gedownload . Het is belangrijk om te vermelden dat de gedetecteerde kwaadwillige pakketten zich onderscheiden door het gebruik van geavanceerde methoden om de communicatiekanalen met de servers van de aanvallers te verbergen.
De gevonden pakketten zijn de volgende:
- belangrijk pakket (6305 downloads) belangrijk-pakket (12897): deze pakketten verbinding maken met een externe server onder het mom van verbinding maken met pypi.python.org om shell-toegang tot het systeem te verlenen (reverse shell) en gebruik het trevorc2-programma om het communicatiekanaal te verbergen.
- pptest (10001) en ipborden (946): gebruikte DNS als communicatiekanaal om informatie over te dragen over het systeem (in het eerste pakket, de hostnaam, werkdirectory, interne en externe IP, in het tweede, de gebruikersnaam en de hostnaam).
- uilenmaan (3285) DiscordVeiligheid (557) y yifffeestje (1859) - Identificeer het Discord-servicetoken op het systeem en stuur het naar een externe host.
- trrfab (287): Stuurt de identifier, hostnaam en inhoud van / etc / passwd, / etc / hosts, / home naar een externe host.
- 10cent10 (490) - Een reverse shell-verbinding met een externe host tot stand gebracht.
yandex-yt (4183): toonde een bericht over het gecompromitteerde systeem en werd doorgestuurd naar een pagina met aanvullende informatie over aanvullende acties, uitgegeven via nda.ya.ru (api.ya.cc).
Daarom wordt erop gewezen dat er speciale aandacht moet worden besteed aan de methode voor toegang tot externe hosts die wordt gebruikt in de importantpackage- en important-package-pakketten. Deze pakketten maken gebruik van het Fastly-contentleveringsnetwerk dat in de PyPI-catalogus wordt gebruikt om hun activiteiten te verbergen.
In feite werden de verzoeken verzonden naar de pypi.python.org-server (inclusief het specificeren van de naam van python.org in SNI binnen het HTTPS-verzoek), maar de naam van de server die door de aanvaller wordt beheerd, werd ingesteld in de HTTP-header "Host ». Het content delivery-netwerk stuurde een soortgelijk verzoek naar de server van de aanvaller, waarbij de parameters van de TLS-verbinding naar pypi.python.org werden gebruikt bij het verzenden van gegevens.
De infrastructuur van PyPI wordt aangedreven door het Fastly Content Delivery Network (CDN), dat gebruikmaakt van de transparante proxy van Varnish om standaardverzoeken in de cache op te slaan en TLS-certificaatverwerking op CDN-niveau toepast in plaats van endpointservers om HTTPS-verzoeken via de proxy door te sturen. Ongeacht de bestemmingshost worden verzoeken naar de proxy gestuurd, die de gewenste host identificeert aan de hand van de HTTP-header "Host", en domeinnamen worden gekoppeld aan de standaard IP-adressen van de CDN-loadbalancer die op alle Fastly-clients te vinden zijn.
De server van de aanvallers is ook geregistreerd bij het CDN Fastly , dat gratis abonnementen aanbiedt en zelfs anonieme registratie toestaat. Het is belangrijk om te weten dat een vergelijkbaar schema wordt gebruikt om verzoeken naar het slachtoffer te sturen wanneer een "reverse shell" wordt gecreëerd, maar dan geïnitieerd door de host van de aanvaller. Van buitenaf lijkt de interactie met de server van de aanvaller een legitieme sessie met de PyPI-directory, versleuteld met het PyPI TLS-certificaat. Een vergelijkbare techniek, bekend als "domain fronting", werd eerder gebruikt om de hostnaam actief te verbergen door blokkeringen te omzeilen. Dit hield in dat de HTTPS-optie van sommige CDN's werd gebruikt, waarbij de dummy-host in de SNI werd gespecificeerd en de gevraagde hostnaam in de HTTP-hostheader binnen een TLS-sessie werd doorgegeven.
Om de kwaadaardige activiteit te verbergen, werd bovendien het TrevorC2-pakket gebruikt, waardoor de interactie met de server vergelijkbaar is met normaal surfen op het web.
De pptest- en ipboards-pakketten gebruikten een andere benadering om netwerkactiviteit te verbergen, gebaseerd op het coderen van nuttige informatie in verzoeken aan de DNS-server. Schadelijke software verzendt informatie door DNS-query's uit te voeren, waarbij gegevens die naar de command and control-server worden verzonden, worden gecodeerd met behulp van het base64-formaat in de subdomeinnaam. Een aanvaller accepteert deze berichten door de DNS-server van het domein te controleren.
Als u tot slot meer wilt weten, kunt u de details vinden via de volgende link.