Пре неколико дана је објављено да је у PyPI директоријуму (Python package index) идентификовано 11 пакета који садрже злонамерни код.
Пре него што су проблеми идентификовани, пакети су преузети укупно приближно 38 пута , и вреди напоменути да се откривени злонамерни пакети истичу по коришћењу софистицираних метода за прикривање комуникационих канала са серверима нападача.
Пакети који су откривени су следећи:
- важан пакет (6305 преузимања) е важан-пакет (12897): ови пакети успоставите везу са спољним сервером под маском повезивања на пипи.питхон.орг да обезбеди приступ љусци систему (обрнута шкољка) и користите програм треворц2 да сакријете комуникациони канал.
- пптест (КСНУМКС) и ипбоардс (КСНУМКС): користио ДНС као комуникациони канал за пренос информација о систему (у првом пакету име хоста, радни директоријум, интерна и екстерна ИП адреса, у другом корисничко име и име хоста).
- овлмоон (КСНУМКС), ДисцордСафети (КСНУМКС) и ииффпарти (1859) - Идентификујте Дисцорд сервисни токен на систему и пошаљите га спољном хосту.
- тррфаб (287): Шаље идентификатор, име хоста и садржај / етц / пассвд, / етц / хостс, / кући спољном хосту.
- 10цент10 (490) - Успостављена обрнута веза љуске са спољним хостом.
иандек-ит (4183): приказао је поруку о компромитованом систему и преусмерио на страницу са додатним информацијама о додатним радњама, издатим преко нда.иа.ру (апи.иа.цц).
Стога се помиње да посебну пажњу треба обратити на метод приступа спољним хостовима који се користе у пакетима importantpackage и important-package, који користе мрежу за испоруку садржаја Fastly која се користи у PyPI каталогу да би сакрили своју активност.
У ствари, захтеви су послати серверу пипи.питхон.орг (укључујући навођење имена питхон.орг у СНИ у оквиру ХТТПС захтева), али је име сервера који контролише нападач постављено у ХТТП заглављу „Хост ». Мрежа за испоруку садржаја послала је сличан захтев серверу нападача, користећи параметре ТЛС везе на пипи.питхон.орг приликом преноса података.
Инфраструктуру PyPI-ја покреће Fastly Content Delivery Network, која користи Varnish-ов транспарентни прокси за кеширање типичних захтева и користи обраду TLS сертификата на нивоу CDN-а, уместо крајњих сервера, за прослеђивање HTTPS захтева кроз прокси. Без обзира на одредишни хост, захтеви се шаљу проксију, који идентификује жељени хост помоћу HTTP заглавља „Host“, а имена хостова домена су везана за типичне IP адресе CDN балансера оптерећења које се налазе на свим Fastly клијентима.
Сервер нападача је такође регистрован код CDN Fastly , који нуди бесплатне планове и чак омогућава анонимну регистрацију. Вреди напоменути да се слична шема користи за слање захтева жртви када се креира „обрнута шкољка“, али је иницира хост нападача. Споља, интеракција са сервером нападача изгледа као легитимна сесија са PyPI директоријумом, шифрована PyPI TLS сертификатом. Слична техника, позната као „доменски фронтинг“, раније је коришћена за активно скривање имена хоста заобилажењем блокова. Ово је укључивало коришћење HTTPS опције коју пружају неки CDN-ови, навођење лажног хоста у SNI и прослеђивање траженог имена хоста у HTTP заглављу хоста унутар TLS сесије.
Да би се сакрила злонамерна активност, додатно је коришћен пакет ТреворЦ2, који чини интеракцију са сервером сличном нормалном претраживању веба.
Пакети пптест и ипбоардс користили су другачији приступ за скривање мрежне активности, заснован на кодирању корисних информација у захтевима ка ДНС серверу. Злонамерни софтвер преноси информације извршавањем ДНС упита, у којима се подаци који се преносе на командни и контролни сервер кодирају коришћењем басе64 формата у имену поддомена. Нападач прихвата ове поруке тако што контролише ДНС сервер домена.
На крају, ако сте заинтересовани да сазнате више, детаље можете пронаћи на следећем линку.