Byly odhaleny informace o obětech phishingu, na které nedávno upozornili správci repozitáře Python balíčků PyPI (Python Package Index). V důsledku rozesílání zpráv s upozorněním na potřebu potvrdit svůj email, které odkazovaly na falešnou stránku pypj.org (písmeno „j“ místo „i“), se podařilo zachytit účty 4 správců.
Zločinci vygenerovali dva tokeny pro přístup k API a publikovali dvě verze projektu num2words (0.5.15 a 0.5.16), které obsahovaly škodlivý kód. Modul num2words, který má více než 3 miliony stažení měsíčně, poskytuje funkce pro převod čísel na textové vyjádření. Škodlivé verze num2words byly správci PyPI odstraněny hodinu po publikaci.
K obejití ochrany účet pomocí dvoufázové autentizace útočníci použili transparentní proxying provozu z phishingové stránky pypj.org na skutečnou stránku pypi.org, což vytvářelo u uživatele dojem práce se skutečným katalogem PyPI. Přihlašovací stránka byla také proxy a útočníci kontrolovali nejen původně zadané heslo, ale i odpověď na ověřovací dotaz druhého faktoru autentizace.
Aby se čelilo budoucím útokům prostřednictvím proxy, správci PyPI implementovali ochranu, která ověřuje doménu pomocí JavaScriptu na straně klienta a v případě nesouladu hashů domén. vydávající varování (útokům nic nebrání na úrovni proxy filtrovat podobný skript nebo nahradit ověřovací hash).
Zdroj: opennet.ru
