Придобит е контрол върху 14 PHP библиотеки в репозитория Packagist

Администраторите на пакетния репозиториум Packagist разкриха информация за атака, в резултат на която е бил завладян контролът над сметките на поддържащите 14 PHP библиотека, сред които популярни пакети като instantiator (526 млн. инсталации общо, 8 млн. инсталации за месец, 323 зависими пакета), sql-formatter (94 млн. инсталации общо, 800 хиляди за месец, 109 зависими пакета), doctrine-cache-bundle (73 млн. инсталации общо, 500 хиляди за месец, 348 зависими пакета) и rcode-detector-decoder (20 млн. инсталации общо, 400 хиляди за месец, 66 зависими пакета).

След компрометиране на сметките, атакуващият е променил файла composer.json, добавяйки в полето с описание на проекта информация, че търси работа, свързана с информационната сигурност. За да направи промяната във файла composer.json, атакуващият е заменил URL адресите на оригиналните репозитории с линкове към модифицирани форкове (в Packagist се предоставят само метаданни с линкове към проекти, развити в GitHub, когато се изпълнява команда „composer install“ или „composer update“, пакетите се изтеглят директно от GitHub). Например, за пакета acmephp свързаният репозиторий е бил сменен от acmephp/acmephp на neskafe3v1/acmephp.

Судя по всичко, атаката е била извършена не с намерение да се причинят вреди, а като демонстрация на неприемливостта на безразсъдното отношение към използването на повтарящи се удостоверителни данни на различни сайтове. При това атакуващият, напък, противно на установената практика за „етични хаквания“, не е уведомил предварително разработчиците на библиотеките и администраторите на репозитория за провеждания експеримент. По-късно атакуващият съобщи, че след като успее да намери работа, ще публикува детайлен отчет за методите, използвани в атаката.

Според публикуваните от администраторите на Packagist данни, във всички сметки, управляващи компрометираните пакети, са били използвани пароли, лесни за разбиване, без включване на двуфакторна автентикация. Твърди се, че във хакнатите сметки са били използвани пароли, които са използвани не само в Packagist, но и в други услуги, чиято база данни с пароли е била предварително компрометирана и е попаднала в публичен достъп. Като вариант за достъп също може да е бил използван захват на имейлите на собствениците на сметките, които са били свързани с изтекли домейни.

Компрометирани пакети:

• acmephp/acmephp (124,860 инсталации от съществуването на пакета)
• acmephp/core (419,258)
• acmephp/ssl (531,692)
• doctrine/doctrine-cache-bundle (73,490,057)
• doctrine/doctrine-module (5,516,721)
• doctrine/doctrine-mongo-odm-module (516,441)
• doctrine/doctrine-orm-module (5,103,306)
• doctrine/instantiator (526,809,061)
• growthbook/growthbook (97,568
• jdorn/file-system-cache (32,660)
• jdorn/sql-formatter (94,593,846)
• khanamiryan/qrcode-detector-decoder (20,421,500)
• object-calisthenics/phpcs-calisthenics-rules (2,196,380)
• tga/simhash-php, tgalopin/simhashphp (30,555)

Източник: opennet.ru