התוקפים השיגו שליטה בחבילת Python ctx ובספריית PHP phpass

תוקפים לא ידועים השיגו שליטה בחבילת Python ctx ובספריית PHP phpass, ולאחר מכן פרסמו עדכונים עם הוספה זדונית ששלחה את התוכן של משתני הסביבה לשרת חיצוני בציפייה לגניבת טוקנים ל-AWS ולמערכות אינטגרציה מתמשכות. על פי הסטטיסטיקה הזמינה, חבילת Python 'ctx' מורדת ממאגר PyPI כ-22 אלף פעמים בשבוע. חבילת phpass PHP מופצת דרך מאגר ה-Composer והורדה עד כה יותר מ-2.5 מיליון פעמים.

ב-ctx, הקוד הזדוני פורסם ב-15 במאי במהדורה 0.2.2, ב-26 במאי במהדורה 0.2.6, וב-21 במאי הוחלף המהדורה הישנה 0.1.2, שנוצרה במקור ב-2014. על פי ההערכות, הגישה הושגה כתוצאה מפגיעה בחשבון המפתח.

באשר לחבילת PHP phpass, הקוד הזדוני שולב באמצעות רישום של מאגר GitHub חדש באותו השם hautelook/phpass (בעל המאגר המקורי מחק את חשבון hautelook שלו, אותו ניצל התוקף ורשם חשבון חדש עם אותו שם ופרסם אותו תחת יש מאגר phpass עם קוד זדוני). לפני חמישה ימים נוסף שינוי למאגר ששולח את התוכן של משתני הסביבה AWS_ACCESS_KEY ו-AWS_SECRET_KEY לשרת החיצוני.

ניסיון למקם חבילה זדונית במאגר Composer נחסם במהירות וחבילת hautelook/phpass שנפרצה הופנתה לחבילת bordoni/phpass, שממשיכה בפיתוח הפרויקט. ב-ctx וב-phpass, משתני סביבה נשלחו לאותו שרת "anti-theft-web.herokuapp[.]com", מה שמצביע על כך שהתקפות לכידת המנות בוצעו על ידי אותו אדם.

מקור: OpenNet.ru