{"id":102339,"date":"2021-11-20T09:36:56","date_gmt":"2021-11-20T07:36:57","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/v-kataloge-pypi-vyyavleny-vredonosnye-biblioteki-ispolzuyushhie-cdn-pypi-dlya-skrytiya-kanala-svyazi"},"modified":"2021-11-20T09:36:56","modified_gmt":"2021-11-20T07:36:57","slug":"v-kataloge-pypi-vyyavleny-vredonosnye-biblioteki-ispolzuyushhie-cdn-pypi-dlya-skrytiya-kanala-svyazi","status":"publish","type":"post","link":"https:\/\/prohoster.info\/de\/blog\/novosti-interneta\/v-kataloge-pypi-vyyavleny-vredonosnye-biblioteki-ispolzuyushhie-cdn-pypi-dlya-skrytiya-kanala-svyazi","title":{"rendered":"Im PyPI-Verzeichnis wurden b\u00f6sartige Bibliotheken entdeckt, die das CDN PyPI nutzen, um den Kommunikationskanal zu verbergen.","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Im Katalog PyPI (Python Package Index) wurden 11 Pakete mit sch\u00e4dlichem Code identifiziert. Vor der Entdeckung der Probleme wurden die Pakete insgesamt etwa 38.000 Mal heruntergeladen. Die entdeckten sch\u00e4dlichen Pakete zeichnen sich durch ausgekl\u00fcgelte Methoden aus, um die Verbindungen zu den Servern der Angreifer zu verstecken. <\/p>\n
\n
importantpackage (6305 Downloads), important-package (12897) \u2014 stellte eine Verbindung zu einem externen Server unter dem Vorwand her, sich mit pypi.python.org zu verbinden, um Shell-Zugriff auf das System (Reverse Shell) zu gew\u00e4hren und verwendete das Programm trevorc2 zum Verbergen des Kommunikationskanals.\n
pptest (10001), ipboards (946) \u2014 nutzten DNS als Kommunikationskanal zur \u00dcbertragung von Systeminformationen (im ersten Paket den Hostnamen, das Arbeitsverzeichnis, interne und externe IPs, im zweiten Paket \u2014 den Benutzernamen und Hostnamen).\n
owlmoon (3285), DiscordSafety (557), yiffparty (1859) \u2014 ermittelten im System das Token des Discord-Dienstes und sendeten es an einen externen Host.\n
trrfab (287) \u2014 \u00fcbermittelte an einen externen Host die ID, den Hostnamen und den Inhalt von \/etc\/passwd, \/etc\/hosts, \/home.\n
10Cent10 (490) \u2014 stellte eine R\u00fcckverbindung (Reverse Shell) zu einem externen Host her.\n
yandex-yt (4183) \u2014 gab eine Mitteilung \u00fcber die Kompromittierung des Systems aus und leitete auf eine Seite mit weiteren Informationen zu den n\u00e4chsten Schritten weiter, die \u00fcber nda.ya.ru (api.ya.cc) bereitgestellt werden. <\/ul>\n
Besonderes Augenmerk sollte auf die Methode gelegt werden, wie externe Hosts angesprochen werden, die in den Paketen importantpackage und important-package verwendet werden. Diese Pakete nutzten das Content Delivery Network Fastly, um ihre Aktivit\u00e4ten im PyPI-Katalog zu verschleiern. Tats\u00e4chlich wurden die Anfragen an den Server pypi.python.org gesendet (darunter auch die Angabe des Namens python.org in der SNI innerhalb der HTTPS-Anfrage), w\u00e4hrend im HTTP-Header \"Host\" der Name des Servers angegeben wurde, der den Angreifern geh\u00f6rte (sec.forward.io.global.prod.fastly.net). Das Content Delivery Network leitete eine solche Anfrage an den Server der Angreifer weiter, indem es TLS-Verbindungsparameter mit pypi.python.org verwendete. <\/p>\n
Die Funktionsweise der PyPI-Infrastruktur wird durch das Content Delivery Network Fastly unterst\u00fctzt, in dem f\u00fcr die Caching von Standardanfragen ein transparenter Varnish-Proxy eingesetzt wird. Zudem erfolgt die Verarbeitung von TLS-Zertifikaten auf CDN-Ebene und nicht auf den Endservern, um HTTPS-Anfragen durch den Proxy hindurch zu leiten. Unabh\u00e4ngig vom Zielhost werden die Anfragen an den Proxy gesendet, der den erforderlichen Host anhand des HTTP-Headers \"Host\" bestimmt. Domainnamen<\/a> Hosts werden an die f\u00fcr alle Kunden von Fastly typischen IP-Adressen der CDN-Lastenausgleicher gebunden. <\/p>\n
![\"Im](\"\/wp-content\/uploads\/2021\/11\/9e9761458829291aded542d2bcae4cf3.jpg\")
<\/center> <\/p>\n