Disa ditë më parë, u njoftua se 11 paketa që përmbanin kod të dëmshëm u identifikuan në direktorinë PyPI (indeksi i paketave Python).
Përpara se të identifikoheshin problemet, paketat u shkarkuan afërsisht 38 herë në total , dhe vlen të përmendet se paketat keqdashëse të zbuluara dallohen për përdorimin e metodave të sofistikuara për të fshehur kanalet e komunikimit me serverat e sulmuesve.
Pakot që u zbuluan janë si më poshtë:
- paketë e rëndësishme (6305 shkarkime) e e rëndësishme-paketë (12897): këto pako krijoni një lidhje me një server të jashtëm nën maskën e lidhjes me pypi.python.org për të siguruar akses shell në sistem (predha e kundërt) dhe përdorni programin trevorc2 për të fshehur kanalin e komunikimit.
- pptest (10001) dhe ipboards (946) përdori DNS si një kanal komunikimi për të transferuar informacion në lidhje me sistemin (në paketën e parë, emri i hostit, drejtoria e punës, IP e brendshme dhe e jashtme, në të dytën, emri i përdoruesit dhe emri i hostit).
- bufi muna (3285), DiscordSafety (557) y yiffparty (1859) - Identifikoni shenjën e shërbimit Discord në sistem dhe dërgojeni atë te një host i jashtëm.
- trrfab (287): Dërgon identifikuesin, emrin e hostit dhe përmbajtjen e / etc / passwd, / etc / hosts, / home te një host i jashtëm.
- 10 cent10 (490) - Krijoi një lidhje të kundërt të guaskës me një host të jashtëm.
yandex-yt (4183): tregoi një mesazh në lidhje me sistemin e komprometuar dhe ridrejtoi në një faqe me informacion shtesë në lidhje me veprimet shtesë, të lëshuar përmes nda.ya.ru (api.ya.cc).
Prandaj, përmendet se duhet t'i kushtohet vëmendje e veçantë metodës së aksesimit të hosteve të jashtëm të përdorura në paketat importantpackage dhe important-package, të cilat përdorin rrjetin e shpërndarjes së përmbajtjes Fastly të përdorur në katalogun PyPI për të fshehur aktivitetin e tyre.
Në fakt, kërkesat u dërguan në serverin pypi.python.org (duke përfshirë specifikimin e emrit të python.org në SNI brenda kërkesës HTTPS), por emri i serverit të kontrolluar nga sulmuesi ishte vendosur në kokën HTTP "Host ». Rrjeti i shpërndarjes së përmbajtjes dërgoi një kërkesë të ngjashme në serverin e sulmuesit, duke përdorur parametrat e lidhjes TLS me pypi.python.org kur transmeton të dhëna.
Infrastruktura e PyPI mundësohet nga Rrjeti i Dorëzimit të Përmbajtjes Fastly, i cili përdor proxy-n transparent të Varnish për të ruajtur në memorje kërkesat tipike dhe përdor përpunimin e certifikatave TLS në nivel CDN, në vend të serverëve fundorë, për të përcjellë kërkesat HTTPS përmes proxy-t. Pavarësisht nga hosti i destinacionit, kërkesat dërgohen te proxy, i cili identifikon hostin e dëshiruar nga koka HTTP "Host", dhe emrat e hosteve të domenit janë të lidhur me adresat IP tipike të balancuesit të ngarkesës CDN që gjenden në të gjithë klientët Fastly.
Serveri i sulmuesve është gjithashtu i regjistruar në CDN Fastly , i cili ofron plane falas dhe madje lejon regjistrim anonim. Vlen të përmendet se një skemë e ngjashme përdoret për të dërguar kërkesa te viktima kur krijohet një "shell i kundërt", por i iniciuar nga hosti i sulmuesit. Nga jashtë, bashkëveprimi me serverin e sulmuesit duket të jetë një seancë legjitime me direktorinë PyPI, e koduar me certifikatën PyPI TLS. Një teknikë e ngjashme, e njohur si "fronting domain", është përdorur më parë për të fshehur në mënyrë aktive emrin e hostit duke anashkaluar blloqet. Kjo përfshinte përdorimin e opsionit HTTPS të ofruar nga disa CDN, duke specifikuar hostin artificial në SNI dhe duke kaluar emrin e hostit të kërkuar në kokën e hostit HTTP brenda një sesioni TLS.
Për të fshehur aktivitetin keqdashës, u përdor gjithashtu paketa TrevorC2, e cila e bën ndërveprimin me serverin të ngjashëm me shfletimin normal të internetit.
Paketat pptest dhe ipboards përdorën një qasje të ndryshme për të fshehur aktivitetin e rrjetit, bazuar në kodimin e informacionit të dobishëm në kërkesat për serverin DNS. Softueri me qëllim të keq transmeton informacion duke kryer pyetje DNS, në të cilat të dhënat e transmetuara në serverin e komandës dhe kontrollit kodohen duke përdorur formatin base64 në emrin e nëndomainit. Një sulmues i pranon këto mesazhe duke kontrolluar serverin DNS të domenit.
Së fundmi, nëse jeni të interesuar të mësoni më shumë, mund t'i gjeni detajet në lidhjen e mëposhtme.