Telnyx PyPI paketi kompromiteerimine

VoIP platvormi Telnyx arendajad hoiatavad kasutajaid telnyx paketi kompromiteerimise eest PyPI hoidlas, mis kogub 756 000 allalaadimist kuus ja pakub SDK-d Telnyx API-le juurdepääsuks Pythonis kirjutatud rakendustes. 27. märtsil suudavad ründajad avaldada kaks pahatahtlikku väljaannet telnyx 4.87.1 ja 4.87.2, pääsedes ligi PyPI-le pärast kaasautori mandaadi saamist. Pahatahtlikud versioonid levitati ajavahemikus 6:51 kuni 13:13 (MSK), pärast mida blokeeris PyPI administraator. Telnyx infrastruktuur, API, häälteenused ja platvorm ei saanud kahjustada.

Kompromiteerimine toimus ulatuslikuma TeamPCP tarneahela rünnaku käigus, mille käigus kiiresti kompromiteeriti Python pakette LiteLLM ja Trivy, samuti integreeriti pahatahtlik kood OpenVSX lisa Checkmarx ja sissetungiti 68 paketti NPM hoidlas. Andmete edastamiseks kasutatud RSA võti kattus TeamPCP grupi teiste rünnakute võtmetega.

Ründajate loodud versioonidesse oli sisse ehitatud pahatahtlik kood, mis integreeriti faili „_client.py” ja aktiveerus mooduli importimisel. Pärast aktiveerimist laaditi serverid ründajate poolt helifail ringtone.wav Unix-põhistes süsteemides ja hangup.wav Windowsi jaoks. Need failid esitati edukalt helidena, kuid sisaldasid steganograafia abil integreeritud varjatud pahatahtlikke töötlusi.

Windowsi platvormil salvestati pahatahtlik töötlus süsteemi kui „%APPDATA%\Microsoft\Windows\Start Menu\Programs\Startup\msbuild.exe” ja käivitati iga sisse logimise ajal. macOS ja Linuxi keskkondades tehti SSH võtmete, autentimisteabe, keskkonnamuutujate sisu, API juurdepääsutokenite, AWS, GCP, Azure ja K8s pilveteenuste ühendamisparameetrite, krüptorahakottide võtmete, andmebaasi paroolide jne otsing ja edastamine. Leitud andmed krüpteeriti kasutades AES-256-CBC + RSA-4096 algoritme ja saadeti HTTP POST-päringuga välisse hosti.

Allikas: opennet.ru