Уловени са 4 акаунта в PyPI и са издадени злонамерени релизи num2words

Разкрита е информация за жертвите на фишинг, за който наскоро предупредиха администраторите на хранилището на Python пакети PyPI (Python Package Index). В резултат на разпространение на съобщения с уведомление за необходимостта от потвърждаване на имейл, които съдържаха линк към фалшив сайт pypj.org (буква „j“ вместо „i“), бяха откраднати акаунтите на 4 поддръжници.

В крайна сметка извършителите създадоха два токена за достъп до API и публикуваха два релиза на проекта num2words (0.5.15 и 0.5.16), съдържащи зловреден код. Модулът num2words, който има над 3 милиона изтегляния на месец, предоставя функции за преобразуване на числа в текстово представяне. Зловредните релизи на num2words бяха премахнати от администраторите на PyPI час след публикуването.

За да заобиколят защитата на акаунта чрез двуфакторна аутентификация, нападателите използваха прозрачно проксиране на трафика от фишинг сайта pypj.org на реалния сайт pypi.org, поради което у потребителите се създаваше впечатление за работа с реалния каталог на PyPI. Страницата за вход също беше проксирна, а нападателите контролираха не само първоначално въведената парола за вход, но и отговора на проверъчния запит за втория фактор на аутентификация.

За да се противопоставят на бъдещи атаки чрез проксиране на достъп, администраторите на PyPI реализираха защита, която проверява домейна чрез JavaScript на клиентска страна и в случай на несъответствие на хешовете домейни издава предупреждение (нападателят може да филтрира подобен скрипт или да замени проверъчния хеш на ниво прокси).

Източник: opennet.ru