Udviklerne af VoIP-platformen Telnyx har advaret brugerne om kompromitteringen af telnyx-pakken i PyPI-repositoriet, som har 756.000 downloads om måneden og leverer SDK til adgang til Telnyx API fra Python-programmer. Den 27. marts formåede angriberne at publicere to ondsindede versioner telnyx 4.87.1 og 4.87.2 efter at have fået adgang til PyPI ved at kapre legitimationsoplysningerne fra vedligeholderen. De ondsindede versioner blev distribueret fra 6:51 til 13:13 (MSK), hvorefter de blev blokeret af PyPI-administrationen. Infrastruktur, API, taletjenester og platformen Telnyx er ikke blevet ramt.
Kompromitteringen blev udført som en del af et større supply chain-angreb fra TeamPCP, hvor Python-pakkerne LiteLLM og Trivy nyligt blev kompromitteret, og ondsindet kode blev integreret i OpenVSX-udvidelsen Checkmarx, samt en ondsindet orm blev indsat i 68 pakker i NPM-repositoriet. RSA-nøglen, der blev brugt til at kryptere de sendte data, stemte overens med de nøgler, der blev anvendt i andre angreb fra TeamPCP-gruppen.
I de versioner, som angriberne har dannet, blev der indlejret ondsindet kode, der blev integreret i filen “_client.py” og aktiveret ved import af modulet. Efter aktiveringen blev servere der hentet en lydfil ringtone.wav til Unix-lignende systemer og hangup.wav til Windows. Disse filer blev afspillet som lyd, men indeholdt skjulte ondsindede håndteringsprogrammer integreret ved hjælp af steganografi.
På Windows-platformen blev det ondsindede håndteringsprogram gemt i systemet som “%APPDATA%\Microsoft\Windows\Start Menu\Programs\Startup\msbuild.exe” og blev startet ved hver login. I macOS og Linux blev der udført søgninger og sendt SSH-nøgler, legitimationsoplysninger, indholdet af miljøvariabler, API-adgangstokens, parametre til cloud-tjenester som AWS, GCP, Azure og K8s, koder til kryptovaluta-tegnebøger, databasenavne mv. De opdagede data blev krypteret ved hjælp af algoritmerne AES-256-CBC + RSA-4096 og sendt med en HTTP POST-anmodning til en ekstern vært.
Kilde: opennet.ru
