Задържани са 4 акаунта в PyPI и са публикувани злонамерени издания num2words

Разкрита е информация за жертвите на фишинг, за който наскоро предупреждаваха администраторите на репозитория за Python пакети PyPI (Python Package Index). В резултат на разпространението на съобщения с уведомление за нуждата от потвърждаване на имейл, които съдържаха линк към фалшивия сайт pypj.org (буква «j» вместо «i»), бяха компрометирани акаунтите на 4 поддържащи.

В крайна сметка, злонамерени лица генерираха два токена за достъп до API и публикуваха два издания на проекта num2words (0.5.15 и 0.5.16), съдържащи злонамерен код. Модулът num2words, който има над 3 милиона изтегляния на месец, предоставя функции за преобразуване на числа в текстово представяне. Злонамерените издания num2words бяха премахнати от администраторите на PyPI час след публикуването им.

За да заобиколят защитата на акаунта чрез двуфакторна автентикация, нападателите използваха прозрачно проксирането на трафика от фишинг сайта pypj.org към реалния сайт pypi.org, в резултат на което потребителят имаше усещането, че работи с истинския каталог на PyPI. Страницата за вход също беше проксирана и нападателите контролираха не само първоначално въведения парола за вход, но и отговора на проверката на втория фактор за автентикация.

В отговор на бъдещи атаки чрез проксиран достъп, администраторите на PyPI реализираха защита, която проверява домейна чрез JavaScript от страна на клиента и в случай на несъответствие на хешовете домейни издава предупреждение (на нападателя не му пречи на ниво прокси да филтрира подобен скрипт или да заменя проверъчния хеш).

Източник: opennet.ru