Die Entwickler der VoIP-Plattform Telnyx haben die Nutzer über die Kompromittierung des Telnyx-Pakets im PyPI-Repository informiert, das monatlich 756.000 Downloads verzeichnet und ein SDK für den Zugriff auf die Telnyx-API aus Python-Anwendungen bietet. Am 27. März gelang es Angreifern, zwei schadhafte Versionen telnyx 4.87.1 und 4.87.2 zu veröffentlichen, nachdem sie Zugang zu PyPI durch den Diebstahl von Zugangsdaten eines Betreuers erhalten hatten. Die schadhafte Software wurde von 6:51 bis 13:13 Uhr (MSK) verbreitet, danach wurde sie von den Administratoren von PyPI blockiert. Die Infrastruktur, API, Sprachdienste und die Telnyx-Plattform blieben unversehrt.
Die Kompromittierung fand im Rahmen eines umfassenderen Angriffs auf die Lieferkette durch TeamPCP statt, bei dem in den letzten Tagen die Python-Pakete LiteLLM und Trivy kompromittiert wurden, und schadhafter Code in das OpenVSX-Plugin Checkmarx integriert sowie ein schädlicher Wurm in 68 Paketen im NPM-Repository eingebaut wurde. Der zur Verschlüsselung übertragener Daten verwendete RSA-Schlüssel stimmte mit Schlüsseln überein, die in anderen Angriffen der Gruppe TeamPCP genutzt wurden.
In die von den Angreifern erstellten Versionen war schadhafter Code eingebettet, der in die Datei „_client.py“ integriert war und beim Import des Moduls aktiviert wurde. Nach der Aktivierung wird Server Die angegriffenen Systeme luden die Audiodatei ringtone.wav für Unix-ähnliche Systeme und hangup.wav für Windows. Diese Dateien wurden erfolgreich als Audio abgespielt, enthielten jedoch integrierte, mit Steganographie versteckte bösartige Handler.
Auf der Windows-Plattform wurde der bösartige Handler im System als „%APPDATA%\Microsoft\Windows\Start Menu\Programs\Startup\msbuild.exe“ gespeichert und bei jedem Anmelden ausgeführt. In macOS und Linux fanden Suche und Übertragung von SSH-Schlüsseln, Anmeldedaten, Umgebungsvariablen, API-Zugriffs-Token, Verbindungsinformationen zu Cloud-Diensten wie AWS, GCP, Azure und K8s, Schlüsseln von Kryptowallets, Datenbankpasswörtern usw. statt. Die entdeckten Daten wurden mit den Algorithmen AES-256-CBC + RSA-4096 verschlüsselt und mittels einer HTTP POST-Anfrage an einen externen Host gesendet.
Quelle: opennet.ru
