Нападателите получиха контрол върху пакета Python ctx и PHP библиотеката phpass

Неизвестни нападатели придобиха контрол върху пакета Python ctx и PHP библиотеката phpass, след което публикуваха актуализации със злонамерено вмъкване, което изпращаше съдържанието на променливите на средата към външен сървър с очакване да откраднат токени към AWS и системи за непрекъсната интеграция. Според наличната статистика пакетът Python 'ctx' се изтегля от хранилището на PyPI около 22 хиляди пъти седмично. PHP пакетът phpass се разпространява чрез хранилището на Composer и е изтеглен повече от 2.5 милиона пъти досега.

В ctx зловредният код беше публикуван на 15 май във версия 0.2.2, на 26 май във версия 0.2.6, а на 21 май старата версия 0.1.2, първоначално създадена през 2014 г., беше заменена. Смята се, че достъпът е получен в резултат на компрометиране на акаунта на разработчика.

Що се отнася до PHP пакета phpass, злонамереният код беше интегриран чрез регистрацията на ново хранилище на GitHub със същото име hautelook/phpass (собственикът на оригиналното хранилище изтри своя акаунт в hautelook, от което нападателят се възползва и регистрира нов акаунт със същото име и го публикува под има phpass хранилище със злонамерен код). Преди пет дни беше добавена промяна в хранилището, което изпраща съдържанието на променливите на средата AWS_ACCESS_KEY и AWS_SECRET_KEY към външния сървър.

Опитът за поставяне на злонамерен пакет в хранилището на Composer беше бързо блокиран и компрометираният пакет hautelook/phpass беше пренасочен към пакета bordoni/phpass, който продължава развитието на проекта. В ctx и phpass променливите на средата бяха изпратени до един и същ сървър "anti-theft-web.herokuapp[.]com", което показва, че атаките за улавяне на пакети са извършени от едно и също лице.

Източник: opennet.ru