Feltárták a phishing áldozatait, amelyről nemrég figyelmeztették a Python csomagok PyPI (Python Package Index) tárolójának adminisztrátorai. Az email megerősítésére vonatkozó figyelmeztető üzenetek küldésével, amelyek a hamis pypj.org webhelyre mutattak (a "j" helyett "i"), 4 támogató fiókját sikerült megszerezni.
Ennek eredményeként a támadók két API-hozzáférési tokent generáltak, és két kiadást tettek közzé a num2words projektről (0.5.15 és 0.5.16), amelyek rosszindulatú kódot tartalmaztak. A num2words modul, amely havonta több mint 3 millió letöltést ér el, funkciókat biztosít a számok szöveges ábrázolására. A num2words rosszindulatú kiadásait a PyPI adminisztrátorai egy órával a közzététel után eltávolították.
A fiók kéttényezős hitelesítéssel való védelmének megkerülésére a támadók átlátszó proxyzást alkalmaztak a pypj.org phishing webhelyről a valós pypi.org webhelyre, ami miatt a felhasználó úgy érezte, hogy a valós PyPI katalógussal dolgozik. A belépési oldal is proxyzva volt, és a támadók nemcsak az eredetileg megadott belépési jelszót, hanem a második tényező hitelesítési kérdésére adott választ is ellenőrizték.
A jövőbeli támadások proxyzással szembeni ellenállásának érdekében a PyPI adminisztrátorai védelmet vezetettek be, amely JavaScript segítségével ellenőrzi a domaint a kliensoldalon, és ha a hash-ek nem egyeznek, domainok figyelmeztetést ad (a támadónak semmi sem akadályozza meg azon a proxy szinten, hogy kiszűrje ezt a scriptet vagy helyettesítse az ellenőrző hash-t).
Forrás: opennet.ru
