Razvijači VoIP platforme Telnyx upozorili su korisnike na kompromitaciju paketa telnyx u repozitoriju PyPI, koji ima 756 tisuća preuzimanja mjesečno i pruža SDK za pristup API-ju Telnyx iz programa napisanih na Pythonu. 27. ožujka napadači su uspjeli objaviti dvije zloćudne verzije telnyx 4.87.1 i 4.87.2, dobivši pristup PyPI nakon što su preuzeli podatke za prijavu održavatelja. Zloćudne verzije su se distribuirale od 6:51 do 13:13 (MSK), nakon čega su ih administratori PyPI blokirali. Infrastruktura, API, glasovne usluge i platforma Telnyx nisu bili pogođeni.
Kompromitacija je izvršena tijekom šire napada na opskudni lanac TeamPCP, u kojem su nedavno kompromitirani Python paketi LiteLLM i Trivy, integriran zloćudan kod u OpenVSX dodatak Checkmarx i umetnut zloćudan crv u 68 paketa u repozitoriju NPM. RSA ključ korišten za šifriranje poslanih podataka podudarao se s ključevima korištenim u drugim napadima grupe TeamPCP.
U verzijama koje su napadači stvorili bio je integriran zloćudan kod, koji je bio umetnut u datoteku „_client.py“ i aktivirao se pri uvozu modula. Nakon aktivacije, sa poslužitelja napadača se preuzima zvučna datoteka ringtone.wav za Unix-slične sustave i hangup.wav za Windows. Ti su datoteke uspješno reproducirani kao zvučni, ali su sadržavali integrirane zloćudne obrađivače putem steganografije.
Na platformi Windows, zloćudni obrađivač spreman je u sustav kao „%APPDATA%\Microsoft\Windows\Start Menu\Programs\Startup\msbuild.exe“ i pokreće se prilikom svakog prijavljivanja. U macOS i Linux provodili su pretraživanje i slanje SSH ključeva, podataka o prijavi, sadržaja varijabli okruženja, API tokena, parametara za povezivanje na cloud usluge AWS, GCP, Azure i K8s, ključeva od kripto novčanika, lozinki za DBMS itd. Otkriveni podaci šifrirani su koristeći algoritme AES-256-CBC + RSA-4096 i slani HTTP POST zahtjevom na vanjski host.
Izvor: opennet.ru
