Beheerders van de Packagist-pakketrepository hebben gegevens onthuld over een aanval waarbij de controle over de accounts van de onderhouders van 14 PHP-bibliotheken werd overgenomen, waaronder populaire pakketten zoals instantiator (526 miljoen installaties totaal, 8 miljoen installaties per maand, 323 afhankelijke pakketten), sql-formatter (94 miljoen installaties totaal, 800 duizend per maand, 109 afhankelijke pakketten), doctrine-cache-bundle (73 miljoen installaties totaal, 500 duizend per maand, 348 afhankelijke pakketten) en rcode-detector-decoder (20 miljoen installaties totaal, 400 duizend per maand, 66 afhankelijke pakketten).
Na de compromittering van de accounts wijzigde de aanvaller het bestand composer.json en voegde een beschrijving toe dat hij werk zocht op het gebied van informatiebeveiliging. Om de wijziging in het bestand composer.json aan te brengen, verving de aanvaller de URL van de originele repositories door links naar gemodificeerde forks (in Packagist worden alleen metadata met links naar projecten die op GitHub worden ontwikkeld verstrekt; bij het uitvoeren van de installatie met het commando 'composer install' of 'composer update' worden de pakketten rechtstreeks van GitHub gedownload). Bijvoorbeeld, voor het pakket acmephp werd de gekoppelde repository vervangen van acmephp/acmephp naar neskafe3v1/acmephp.
Blijkbaar was de aanval niet bedoeld om schadelijke acties uit te voeren, maar als een demonstratie van de ongeschiktheid van onzorgvuldig omgaan met herhalende inloggegevens op verschillende websites. De aanvaller heeft daarbij in tegenstelling tot de gebruikelijke praktijk van 'ethisch hacken' de ontwikkelaars van de bibliotheken en de beheerders van de repository niet vooraf geĆÆnformeerd over het experiment. Later gaf de aanvaller aan dat hij, nadat hij een baan heeft gevonden, een gedetailleerd rapport zal publiceren over de methoden die tijdens de aanval zijn gebruikt.
Volgens gegevens gepubliceerd door de beheerders van Packagist, zijn in alle accounts die de gecompromitteerde pakketten beheerden, gemakkelijk te raden wachtwoorden gebruikt zonder dat er gebruik werd gemaakt van tweefactorauthenticatie. Er wordt beweerd dat in de gehackte accounts wachtwoorden zijn gebruikt die niet alleen in Packagist werden toegepast, maar ook in andere diensten waarvan de wachtwoorddatabases eerder zijn gecompromitteerd en openbaar zijn geworden. Als alternatief voor toegang kan ook het onderscheppen van e-mail van de eigenaren van accounts zijn gebruikt, die waren gekoppeld aan verlopen domeinen.
Gecompromitteerde pakketten:
- acmephp/acmephp (124.860 installaties sinds de oprichting van het pakket)
- acmephp/core (419.258)
- acmephp/ssl (531.692)
- doctrine/doctrine-cache-bundle (73.490.057)
- doctrine/doctrine-module (5.516.721)
- doctrine/doctrine-mongo-odm-module (516.441)
- doctrine/doctrine-orm-module (5.103.306)
- doctrine/instantiator (526.809.061)
- growthbook/growthbook (97.568)
- jdorn/file-system-cache (32.660)
- jdorn/sql-formatter (94.593.846)
- khanamiryan/qrcode-detector-decoder (20.421.500)
- object-calisthenics/phpcs-calisthenics-rules (2.196.380)
- tga/simhash-php, tgalopin/simhashphp (30.555)
Bron: opennet.ru
