{"id":102339,"date":"2021-11-20T09:36:56","date_gmt":"2021-11-20T07:36:57","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/v-kataloge-pypi-vyyavleny-vredonosnye-biblioteki-ispolzuyushhie-cdn-pypi-dlya-skrytiya-kanala-svyazi"},"modified":"2021-11-20T09:36:56","modified_gmt":"2021-11-20T07:36:57","slug":"v-kataloge-pypi-vyyavleny-vredonosnye-biblioteki-ispolzuyushhie-cdn-pypi-dlya-skrytiya-kanala-svyazi","status":"publish","type":"post","link":"https:\/\/prohoster.info\/de\/blog\/news\/v-kataloge-pypi-vyyavleny-vredonosnye-biblioteki-ispolzuyushhie-cdn-pypi-dlya-skrytiya-kanala-svyazi","title":{"rendered":"Im Katalog PyPI wurden b\u00f6sartige Bibliotheken entdeckt, die das CDN PyPI nutzen, um den Kommunikationskanal zu verbergen.","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Im Katalog PyPI (Python Package Index) wurden 11 Pakete mit b\u00f6sartigem Code entdeckt. Bis zur Feststellung der Probleme wurden die Pakete insgesamt etwa 38.000 Mal heruntergeladen. Die entdeckten b\u00f6sartigen Pakete zeichnen sich durch ausgekl\u00fcgelte Methoden zur Verschleierung ihrer Kommunikationskan\u00e4le mit den Servern der Angreifer aus. <\/p>\n
\n
importantpackage (6305 Downloads), important-package (12897) \u2014 stellte eine Verbindung zu einem externen Server her, indem es sich als Verbindung zu pypi.python.org ausgab, um Shell-Zugriff auf das System (Reverse-Shell) bereitzustellen und nutzte daf\u00fcr das Programm trevorc2 zur Tarnung des Kommunikationskanals.\n
pptest (10001), ipboards (946) \u2014 verwendeten DNS als Kommunikationskanal zur \u00dcbertragung von Systeminformationen (im ersten Paket den Hostnamen, das Arbeitsverzeichnis, interne und externe IPs, im zweiten \u2014 den Benutzernamen und Hostnamen).\n
owlmoon (3285), DiscordSafety (557), yiffparty (1859) \u2014 identifizierten im System das Token des Discord-Dienstes und sendeten es an einen externen Host.\n
trrfab (287) \u2014 sendete eine ID, den Hostnamen und den Inhalt von \/etc\/passwd, \/etc\/hosts, \/home an einen externen Host.\n
10Cent10 (490) \u2014 stellte eine Reverse-Shell-Verbindung zu einem externen Host her.\n
yandex-yt (4183) \u2014 gab eine Mitteilung \u00fcber die Kompromittierung des Systems aus und leitete auf eine Seite mit zus\u00e4tzlichen Informationen zu den weiteren Schritten, bereitgestellt \u00fcber nda.ya.ru (api.ya.cc), weiter. <\/ul>\n
Besondere Aufmerksamkeit verdient die Methode zur Kontaktaufnahme mit externen Hosts, die in den Paketen importantpackage und important-package verwendet wurde, die zur Tarnung ihrer Aktivit\u00e4ten das Content Delivery Network Fastly nutzen, das im Verzeichnis PyPI eingesetzt wird. Tats\u00e4chlich wurden die Anfragen an den Server pypi.python.org gesendet (unter Angabe des Namens python.org im SNI innerhalb der HTTPS-Anfrage), wobei jedoch im HTTP-Header 'Host' der Name des dem Angreifer unterstehenden Servers (sec.forward.io.global.prod.fastly.net) eingetragen wurde. Das Content Delivery Network leitete eine solche Anfrage an den Server der Angreifer weiter, indem es die TLS-Verbindungsparameter mit pypi.python.org verwendete. <\/p>\n
Die Infrastruktur von PyPI wird mit Hilfe des Content Delivery Networks Fastly bereitgestellt, in dem transparente Varnish-Proxies zum Caching typischer Anfragen verwendet werden und die Verarbeitung von TLS-Zertifikaten auf der Ebene des CDN und nicht der Endserver erfolgt, um die Weiterleitung von HTTPS-Anfragen \u00fcber den Proxy zu organisieren. Unabh\u00e4ngig vom Zielhost werden die Anfragen an den Proxy geleitet, der den notwendigen Host anhand des HTTP-Headers 'Host' bestimmt. Domainnamen<\/a> Hosts werden an die standardisierten IP-Adressen der Fastly CDN-Lastverteilungsserver gebunden, die f\u00fcr alle Kunden gelten. <\/p>\n
![\"Im](\"\/wp-content\/uploads\/2021\/11\/9e9761458829291aded542d2bcae4cf3.jpg\")
<\/center> <\/p>\n