Telnyx PyPI 패키지가 손상되었습니다.

텔닉스(Telnyx) VoIP 플랫폼 개발사인 텔닉스는 파이썬 API에 접근하기 위한 SDK를 제공하는 파이썬 저장소인 PyPI(월간 다운로드 75만 6천 건을 기록)의 텔닉스 패키지가 해킹당했다고 사용자들에게 경고했습니다. 3월 27일, 공격자들은 PyPI 관리자의 계정 정보를 탈취하여 악성 버전인 텔닉스 4.87.1과 4.87.2를 배포했습니다. 이 악성 버전은 오전 6시 51분부터 오후 1시 13분(모스크바 시간) 사이에 배포되었으며, 이후 PyPI 관리자에 의해 차단되었습니다. 텔닉스의 인프라, API, 음성 서비스 및 플랫폼 자체는 이번 해킹의 영향을 받지 않았습니다.

이번 침해는 TeamPCP가 벌인 대규모 공급망 공격의 일환으로 발생했으며, TeamPCP는 최근 LiteLLM 및 Trivy Python 패키지를 공격하고, OpenVSX Checkmarx 애드온에 악성 코드를 통합했으며, NPM 저장소의 68개 패키지에 악성 웜을 주입했습니다. 전송된 데이터를 암호화하는 데 사용된 RSA 키는 TeamPCP의 다른 공격에 사용된 키와 일치했습니다.

공격자들이 만든 버전에는 악성 코드가 포함되어 있었으며, 이 코드는 "_client.py" 파일에 통합되어 모듈이 임포트될 때 활성화되었습니다. 활성화 후에는 서버 공격자들은 유닉스 계열 시스템용 ringtone.wav 파일과 윈도우용 hangup.wav 파일을 다운로드했습니다. 이 파일들은 소리 파일로는 정상적으로 재생되었지만, 스테가노그래피를 이용해 숨겨진 악성 코드가 포함되어 있었습니다.

Windows에서는 악성 핸들러가 "%APPDATA%\Microsoft\Windows\Start Menu\Programs\Startup\msbuild.exe" 경로에 저장되어 로그인할 때마다 실행되었습니다. macOS와 Linux에서는 SSH 키, 자격 증명, 환경 변수 내용, API 액세스 토큰, AWS, GCP, Azure 및 K8s 클라우드 서비스 연결 매개변수, 암호화 지갑 키, DBMS 암호 등을 검색하여 전송했습니다. 탐지된 데이터는 AES-256-CBC 및 RSA-4096으로 암호화되어 HTTP POST 요청을 통해 외부 호스트로 전송되었습니다.

출처 : opennet.ru