Administratorerne af pakke-repositoriet Packagist har afsløret oplysninger om et angreb, hvor kontrol over kontoerne af 14 PHP-biblioteker blev overtaget, herunder populære pakker som instantiator (526 millioner installationer i alt, 8 millioner installationer om måneden, 323 afhængige pakker), sql-formatter (94 millioner installationer i alt, 800 tusinde om måneden, 109 afhængige pakker), doctrine-cache-bundle (73 millioner installationer i alt, 500 tusinde om måneden, 348 afhængige pakker) og rcode-detector-decoder (20 millioner installationer i alt, 400 tusinde om måneden, 66 afhængige pakker).
Efter kompromitteringen af kontoerne ændrede angriberen filen composer.json og tilføjede til projektbeskrivelsesfeltet, at han søger arbejde relateret til informationssikkerhed. For at ændre filen composer.json erstattede angriberen URL'en til de oprindelige repositorier med links til modificerede forks (Packagist leverer kun metadata med links til projekter udviklet på GitHub, når installationen udføres med kommandoen «composer install» eller «composer update», hentes pakkerne direkte fra GitHub). For eksempel blev repository'en for pakken acmephp ændret fra acmephp/acmephp til neskafe3v1/acmephp.
Angrebet synes ikke at have været udført for at udføre ondsindede handlinger, men som en demonstration af, at det er uacceptabelt at bruge de samme loginoplysninger på forskellige websider. Angriberen underrettede i modstrid med gældende praksis for «etiske hacking» ikke på forhånd udviklerne af bibliotekerne og administratorerne af repositoriet om det gennemførte eksperiment. Senere udtalte angriberen, at han vil offentliggøre en detaljeret rapport om de metoder, der blev brugt i angrebet, efter han har fået arbejde.
Ifølge de oplysninger, der blev offentliggjort af administratorerne af Packagist, blev der brugt let gættelige adgangskoder uden aktivering af to-faktor-autentifikation i alle de konti, der administrerede de kompromitterede pakker. Det hævdes, at der i de hackede konti blev brugt adgangskoder, der ikke kun blev anvendt i Packagist, men også i andre tjenester, hvis databaser over adgangskoder tidligere var blevet kompromitteret og offentliggjort. En anden mulig adgangsmetode kunne være at få fat i e-mailen fra ejerens konto, der var knyttet til udløbne domæner.
Kompromitterede pakker:
- acmephp/acmephp (124.860 installationer gennem hele pakkens levetid)
- acmephp/core (419.258)
- acmephp/ssl (531.692)
- doctrine/doctrine-cache-bundle (73.490.057)
- doctrine/doctrine-module (5.516.721)
- doctrine/doctrine-mongo-odm-module (516.441)
- doctrine/doctrine-orm-module (5.103.306)
- doctrine/instantiator (526.809.061)
- growthbook/growthbook (97.568
- jdorn/file-system-cache (32.660)
- jdorn/sql-formatter (94.593.846)
- khanamiryan/qrcode-detector-decoder (20.421.500)
- object-calisthenics/phpcs-calisthenics-rules (2.196.380)
- tga/simhash-php, tgalopin/simhashphp (30.555)
Kilde: opennet.ru
