Information über die Opfer von Phishing wurde bekannt gegeben, worüber die Administratoren des Python-Paket-Repositorys PyPI (Python Package Index) vor einigen Tagen gewarnt hatten. Durch den Versand von Nachrichten, die zur Bestätigung der eigenen E-Mail aufforderten und auf die gefälschte Website pypj.org (das «j» anstelle des «i») verwiesen, konnten die Konten von 4 Betreuern kompromittiert werden.
Infolgedessen wurden von den Angreifern zwei Tokens für den Zugriff auf die API generiert und zwei Releases des Projekts num2words (0.5.15 und 0.5.16) veröffentlicht, die schädlichen Code enthielten. Das Modul num2words, das über 3 Millionen Downloads pro Monat hat, bietet Funktionen zum Umwandeln von Zahlen in eine textuelle Darstellung. Die schädlichen Releases von num2words wurden eine Stunde nach der Veröffentlichung von den Administratoren von PyPI gelöscht.
Um den Schutz des Kontos durch Zwei-Faktor-Authentifizierung zu umgehen, verwendeten Angreifer transparentes Proxy-Traffic-Weiterleiten von der Phishing-Website pypj.org zur echten Website pypi.org, was dem Benutzer das Gefühl gab, mit dem echten PyPI-Verzeichnis zu interagieren. Auch die Anmeldeseite wurde proxiert, und die Angreifer kontrollierten nicht nur das ursprünglich eingegebene Passwort, sondern auch die Antwort auf die Überprüfung des zweiten Authentifizierungsfaktors.
Um zukünftigen Angriffen durch Proxy-Zugriffe entgegenzuwirken, implementierten die Administratoren von PyPI einen Schutzmechanismus, der die Domain über JavaScript auf der Client-Seite überprüft und bei inkonsistenten Hashes eine Warnung ausgibt. Domänen Der Angreifer kann jedoch auf Proxyebene problemlos ein solches Skript filtern oder den Prüfhash ersetzen.
Quelle: opennet.ru
