Informationen über die Opfer von Phishing wurden veröffentlicht, vor dem die Administratoren des Python-Paket-Repositories PyPI (Python Package Index) kürzlich gewarnt hatten. Durch den Versand von Nachrichten, die eine Bestätigung der E-Mail-Adresse verlangten und auf die gefälschte Website pypj.org (Buchstabe „j“ anstelle von „i“) verwiesen, konnten die Konten von 4 Betreuern übernommen werden.
Infolgedessen wurden vom Angreifer zwei Tokens für den Zugang zur API generiert und zwei Versionen des Projekts num2words (0.5.15 und 0.5.16) veröffentlicht, die schädlichen Code enthielten. Das Modul num2words, das über 3 Millionen Downloads pro Monat hat, bietet Funktionen zur Umwandlung von Zahlen in textuelle Darstellungen. Die schädlichen Versionen von num2words wurden eine Stunde nach der Veröffentlichung von den Administratoren von PyPI entfernt.
Um den Schutz des Kontos mit Hilfe der Zwei-Faktor-Authentifizierung zu umgehen, verwendeten die Angreifer ein transparentes Proxysystem, um den Datenverkehr von der Phishing-Website pypj.org auf die echte Website pypi.org umzuleiten, was beim Benutzer den Eindruck erweckte, mit dem echten Katalog von PyPI zu interagieren. Auch die Anmeldeseite wurde über ein Proxy geleitet, und die Angreifer kontrollierten nicht nur das ursprünglich eingegebene Anmeldepasswort, sondern auch die Antwort auf die Überprüfungsanfrage des zweiten Authentifizierungsfaktors.
Um künftigen Angriffen durch Proxy-Zugriffe entgegenzuwirken, haben die Administratoren von PyPI einen Schutz implementiert, der die Domain über JavaScript auf der Client-Seite überprüft und im Falle von Hashabweichungen Domains eine Warnung ausgibt (nichts hindert den Angreifer daran, auf Proxy-Ebene ein solches Skript herauszufiltern oder den Überprüfungs-Hash zu ersetzen).
Quelle: opennet.ru
