공격자들은 Python 패키지 ctx 및 PHP 라이브러리 phpass에 대한 제어권을 얻었습니다.

알려지지 않은 공격자는 Python 패키지 ctx 및 PHP 라이브러리 phpass에 대한 제어권을 얻은 후 AWS 및 지속적인 통합 시스템에 대한 토큰을 훔칠 것으로 예상하여 환경 변수의 내용을 외부 서버로 보내는 악의적인 삽입이 포함된 업데이트를 게시했습니다. 사용 가능한 통계에 따르면 Python 패키지 'ctx'는 PyPI 저장소에서 일주일에 약 22번 다운로드됩니다. phpass PHP 패키지는 Composer 저장소를 통해 배포되며 지금까지 2.5만 번 이상 다운로드되었습니다.

ctx에서는 15월 0.2.2일 릴리스 26, 0.2.6월 21일 릴리스 0.1.2에 악성코드가 게시되었으며, 2014월 XNUMX일 원래 XNUMX년에 형성된 이전 릴리스 XNUMX가 교체되었습니다. 개발자 계정이 도용되어 접근 권한을 얻은 것으로 추정됩니다.

PHP 패키지 phpass의 경우, hautelook/phpass라는 이름의 새로운 GitHub 저장소 등록을 통해 악성코드가 통합되었습니다. (원래 저장소 소유자가 자신의 hautelook 계정을 삭제했고, 공격자는 이를 악용하여 새 계정을 등록했습니다.) 같은 이름으로 악성 코드가 있는 phpass 저장소 아래에 게시했습니다. XNUMX일 전, AWS_ACCESS_KEY 및 AWS_SECRET_KEY 환경 변수의 내용을 외부 서버로 전송하는 리포지토리에 변경 사항이 추가되었습니다.

Composer 저장소에 악성 패키지를 배치하려는 시도는 신속하게 차단되었으며 손상된 hautelook/phpass 패키지는 bordoni/phpass 패키지로 리디렉션되어 프로젝트 개발이 계속되었습니다. ctx와 phpass에서는 동일한 서버 "anti-theft-web.herokuapp[.]com"으로 환경 변수가 전송되어 패킷 캡처 공격이 동일한 사람에 의해 수행되었음을 나타냅니다.

출처 : opennet.ru