Vývojáři VoIP platformy Telnyx upozornili uživatele na kompromitaci balíčku telnyx v repozitáři PyPI, který má 756 tisíc stažení měsíčně a poskytuje SDK pro přístup k API Telnyx z programů napsaných v Pythonu. Dne 27. března útočníci dokázali zveřejnit dvě škodlivé verze telnyx 4.87.1 a 4.87.2, poté co získali přístup k PyPI pomocí kompromitovaných přihlašovacích údajů správce. Škodlivé verze se šířily od 6:51 do 13:13 (MSK), poté byly zablokovány administrací PyPI. Infrastruktura, API, hlasové služby a platforma Telnyx nebyly ohroženy.
Kompromitace byla provedena v rámci rozsáhlejší dodavatelské řetězce útoku TeamPCP, při kterém byly nedávno kompromitovány Python balíčky LiteLLM a Trivy, a také byl integrován škodlivý kód do doplňku OpenVSX Checkmarx a implantován škodlivý červ do 68 balíčků v repozitáři NPM. RSA klíč použitý na šifrování odesílaných dat se shodoval s klíči použitými v jiných útocích skupiny TeamPCP.
Do verzí vytvořených útočníky byl integrován škodlivý kód, který byl vložen do souboru „_client.py“ a aktivoval se při importu modulu. Po aktivaci se servery z útočníků stahoval zvukový soubor ringtone.wav pro Unix-like systémy a hangup.wav pro Windows. Tyto soubory se úspěšně přehrávaly jako zvukové, ale obsahovaly integrované skryté škodlivé zpracovatele pomocí steganografie.
Na platformě Windows se škodlivý zpracovatel ukládal do systému jako „%APPDATA%\Microsoft\Windows\Start Menu\Programs\Startup\msbuild.exe“ a spouštěl se při každém přihlášení. V macOS a Linuxu došlo k vyhledání a odeslání SSH klíčů, přihlašovacích údajů, obsahu proměnných prostředí, tokenů API, parametrů připojení k cloudovým službám AWS, GCP, Azure a K8s, klíčů ke kryptoměnovým peněženkám, hesel k databázím atd. Zjištěná data byla šifrována pomocí algoritmů AES-256-CBC + RSA-4096 a odeslána HTTP POST požadavkem na externí hostitele.
Zdroj: opennet.ru
