Ilang araw na ang nakalipas, inanunsyo na 11 pakete na naglalaman ng malisyosong code ang natukoy sa direktoryo ng PyPI (Python package index).
Bago natukoy ang mga problema, ang mga pakete ay na-download nang humigit-kumulang 38 beses sa kabuuan , at mahalagang tandaan na ang mga natukoy na malisyosong pakete ay namumukod-tangi dahil sa paggamit ng mga sopistikadong pamamaraan upang itago ang mga channel ng komunikasyon sa mga server ng mga umaatake.
Ang mga pakete na natuklasan ay ang mga sumusunod:
- mahalagang pakete (6305 download) e mahalagang-pakete (12897): ang mga paketeng ito magtatag ng koneksyon sa isang panlabas na server sa ilalim ng pagkukunwari ng pagkonekta sa pypi.python.org para magbigay ng shell access sa system (reverse shell) at gamitin ang trevorc2 program upang itago ang channel ng komunikasyon.
- pptest (10001) at ipboards (946): ginamit ang DNS bilang isang channel ng komunikasyon upang maglipat ng impormasyon tungkol sa system (sa unang packet, ang hostname, gumaganang direktoryo, panloob at panlabas na IP, sa pangalawa, ang username at ang hostname).
- owlmoon Na (3285), DiscordSafety (557) y yiffparty (1859) - Tukuyin ang token ng serbisyo ng Discord sa system at ipadala ito sa isang panlabas na host.
- trrfab (287): Ipinapadala ang identifier, hostname, at nilalaman ng / etc / passwd, / etc / hosts, / home sa isang external na host.
- 10 sentimo10 (490) - Nagtatag ng isang reverse shell na koneksyon sa isang panlabas na host.
yandex-yt (4183) - nagpakita ng mensahe tungkol sa nakompromisong sistema at na-redirect sa isang pahina na may karagdagang impormasyon tungkol sa mga karagdagang aksyon, na ibinigay sa pamamagitan ng nda.ya.ru (api.ya.cc).
Samakatuwid, nabanggit na dapat bigyan ng espesyal na atensyon ang paraan ng pag-access sa mga panlabas na host na ginagamit sa mga packet na importantpackage at important-package, na gumagamit ng Fastly content delivery network na ginagamit sa PyPI catalog upang itago ang kanilang aktibidad.
Sa katunayan, ipinadala ang mga kahilingan sa server ng pypi.python.org (kabilang ang pagtukoy sa pangalan ng python.org sa SNI sa loob ng kahilingan sa HTTPS), ngunit ang pangalan ng server na kinokontrol ng umaatake ay itinakda sa header ng HTTP na "Host ». Nagpadala ang network ng paghahatid ng nilalaman ng katulad na kahilingan sa server ng umaatake, gamit ang mga parameter ng koneksyon ng TLS sa pypi.python.org kapag nagpapadala ng data.
Ang imprastraktura ng PyPI ay pinapagana ng Fastly Content Delivery Network, na gumagamit ng transparent proxy ng Varnish upang i-cache ang mga karaniwang kahilingan at gumagamit ng CDN-level TLS certificate processing, sa halip na mga endpoint server, upang ipasa ang mga kahilingan sa HTTPS sa pamamagitan ng proxy. Anuman ang destinasyong host, ang mga kahilingan ay ipinapadala sa proxy, na tumutukoy sa nais na host sa pamamagitan ng HTTP "Host" header, at ang mga domain hostname ay nakatali sa mga tipikal na CDN load balancer IP address na matatagpuan sa lahat ng Fastly client.
Ang server ng mga umaatake ay nakarehistro rin sa CDN Fastly , na nag-aalok ng mga libreng plano at nagpapahintulot pa nga ng anonymous na pagpaparehistro. Mahalagang tandaan na ang isang katulad na pamamaraan ay ginagamit upang magpadala ng mga kahilingan sa biktima kapag ang isang "reverse shell" ay nilikha, ngunit sinimulan ng host ng umaatake. Mula sa labas, ang pakikipag-ugnayan sa server ng umaatake ay tila isang lehitimong sesyon sa direktoryo ng PyPI, na naka-encrypt gamit ang sertipiko ng PyPI TLS. Ang isang katulad na pamamaraan, na kilala bilang "domain fronting," ay dating ginamit upang aktibong itago ang hostname sa pamamagitan ng pag-bypass sa mga block. Kabilang dito ang paggamit ng opsyong HTTPS na ibinigay ng ilang CDN, pagtukoy sa dummy host sa SNI, at pagpasa ng hiniling na hostname sa header ng HTTP host sa loob ng isang sesyon ng TLS.
Upang itago ang malisyosong aktibidad, ginamit din ang TrevorC2 package, na ginagawang katulad ng normal na pagba-browse sa web ang pakikipag-ugnayan sa server.
Ang pptest at ipboards packets ay gumamit ng ibang diskarte upang itago ang aktibidad ng network, batay sa pag-encode ng kapaki-pakinabang na impormasyon sa mga kahilingan sa DNS server. Ang nakakahamak na software ay nagpapadala ng impormasyon sa pamamagitan ng pagsasagawa ng mga DNS query, kung saan ang data na ipinadala sa command at control server ay naka-encode gamit ang base64 na format sa pangalan ng subdomain. Tinatanggap ng isang umaatake ang mga mensaheng ito sa pamamagitan ng pagkontrol sa DNS server ng domain.
Panghuli, kung interesado kang matuto nang higit pa, makikita mo ang mga detalye sa sumusunod na link.