Прехванат контрол над 14 PHP-библиотеки в репозиторий Packagist

Администраторите на репотоария за пакети Packagist разкриха информация за атака, в резултат на която беше завладян контролът върху акаунтите на поддръжниците на 14 PHP-библиотеки, сред които и популярни пакети като instantiator (526 млн инсталации общо, 8 млн инсталации за месец, 323 зависими пакета), sql-formatter (94 млн инсталации общо, 800 хил. за месец, 109 зависими пакета), doctrine-cache-bundle (73 млн инсталации общо, 500 хил. за месец, 348 зависими пакета) и rcode-detector-decoder (20 млн инсталации общо, 400 хил. за месец, 66 зависими пакета).

След компрометиране на акаунти, нападателят е изменил файла composer.json, добавяйки в полето с описание на проекта информация, че търси работа, свързана с информационна сигурност. За да направи промяна във файла composer.json, нападателят е заменил URL адресите на оригиналните репозитории с линкове към модифицирани форкове (в Packagist се предоставят само метаданни с линкове към проекти, публикувани в GitHub, и когато се изпълняват командите „composer install“ или „composer update“, пакетите се изтеглят директно от GitHub). Например, за пакета acmephp свързаният репозиторий е заменен от acmephp/acmephp на neskafe3v1/acmephp.

Судя по всичко, атаката е извършена не за нанасяне на вреда, а като демонстрация на неприемливостта на небрежното отношение към употребата на повторящи се учетни данни на различни сайтове. В същото време нападателят, противно на утвърдената практика на „етични хаквания“, предварително не е уведомил разработчиците на библиотеки и администраторите на репозитория за провеждания експеримент. По-късно нападателят съобщи, че след като успее да намери работа, ще публикува подробен отчет за методите, използвани в атаката.

Според публикуваните от администраторите на Packagist данни, във всички акаунти, управляващи компрометирани пакети, са използвани лесни за отгатване пароли без включена двуфакторна аутентификация. Твърди се, че в хакнатите акаунти са използвани пароли, прилагани не само в Packagist, но и в други услуги, бази данни с пароли на които са били компрометирани и са изпаднали в публичен достъп. Като вариант за получаване на достъп също е могла да се използва кражба на email адреси на собствениците на акаунти, които са били свързани с изтекли домейни.

Компрометирани пакети:

• acmephp/acmephp (124,860 инсталации от съществуването на пакета)
• acmephp/core (419,258)
• acmephp/ssl (531,692)
• doctrine/doctrine-cache-bundle (73,490,057)
• doctrine/doctrine-module (5,516,721)
• doctrine/doctrine-mongo-odm-module (516,441)
• doctrine/doctrine-orm-module (5,103,306)
• doctrine/instantiator (526,809,061)
• growthbook/growthbook (97,568
• jdorn/file-system-cache (32,660)
• jdorn/sql-formatter (94,593,846)
• khanamiryan/qrcode-detector-decoder (20,421,500)
• object-calisthenics/phpcs-calisthenics-rules (2,196,380)
• tga/simhash-php, tgalopin/simhashphp (30,555)

Източник: opennet.ru