Компрометиране на PyPI пакета Telnyx

Разработчиците на VoIP платформата Telnyx предупредиха потребителите за компрометирането на пакета telnyx в репозитория PyPI, който има 756 хиляди изтегляния на месец и предлага SDK за достъп до API-то на Telnyx от приложения на Python. На 27 март нападателите успяха да публикуват две злонамерени версии telnyx 4.87.1 и 4.87.2, след като получиха достъп до PyPI чрез компрометиране на данните за вход на поддържащия. Злонамерените версии се разпространяваха от 6:51 до 13:13 (MSK), след което бяха блокирани от администрацията на PyPI. Инфраструктурата, API-то, гласовите услуги и платформата Telnyx не пострадаха.

Компрометирането беше извършено по време на по-мащабна атака на supply chain от TeamPCP, при която наскоро бяха компрометирани Python пакети LiteLLM и Trivy, както и интегриран злонамерен код в добавката OpenVSX Checkmarx и внедрен злонамерен червей в 68 пакета в репозитория NPM. Ключът RSA, използван за криптиране на изпратените данни, съвпадаше с ключовете, използвани в други атаки от групата TeamPCP.

В злонамерените версии, създадени от нападателите, беше вграден злонамерен код, който беше интегриран в файла „_client.py“ и се активираше при импортиране на модула. След активирането с сървъри нападателите изтегляха звуковия файл ringtone.wav за Unix-базирани системи и hangup.wav за Windows. Тези файлове успешно се възпроизвеждаха като звукови, но съдържаха интегрирани чрез стеганография скрити злонамерени обработващи единици.

На платформата Windows злонамереният обработващ модул се запазваше в системата като „%APPDATA%\Microsoft\Windows\Start Menu\Programs\Startup\msbuild.exe“ и се стартираше при всяко влизане. В macOS и Linux се извършваше търсене и изпращане на SSH ключове, данни за вход, съдържание на променливи на средата, токени за достъп до API, параметри за свързване с облачни услуги AWS, GCP, Azure и K8s, ключове от криптокошници, пароли за бази данни и т.н. Откритите данни бяха криптирани с помощта на алгоритми AES-256-CBC + RSA-4096 и изпращани с HTTP POST заявка на външен хост.

Източник: opennet.ru