Os administradores do repositório de pacotes Packagist revelaram detalhes sobre um ataque que resultou na obtenção de controle sobre as contas que mantêm 14 bibliotecas PHP, incluindo pacotes populares como instantiator (526 milhões de instalações no total, 8 milhões por mês, 323 pacotes dependentes), sql-formatter (94 milhões de instalações no total, 800 mil por mês, 109 pacotes dependentes), doctrine-cache-bundle (73 milhões de instalações no total, 500 mil por mês, 348 pacotes dependentes) e rcode-detector-decoder (20 milhões de instalações no total, 400 mil por mês, 66 pacotes dependentes).
Após a comprometimento das contas, o atacante alterou o arquivo composer.json, adicionando na descrição do projeto que estava em busca de trabalho relacionado à segurança da informação. Para fazer a alteração no arquivo composer.json, o atacante substituiu os URLs dos repositórios originais por links para forks modificados (no Packagist, apenas os metadados com links para projetos desenvolvidos no GitHub são fornecidos, e ao executar os comandos "composer install" ou "composer update", os pacotes são carregados diretamente do GitHub). Por exemplo, para o pacote acmephp, o repositório vinculado foi alterado de acmephp/acmephp para neskafe3v1/acmephp.
Parece que o ataque não foi realizado para causar danos, mas como uma demonstração da imprudência de usar credenciais repetidas em diferentes sites. No entanto, o atacante, ao contrário da prática estabelecida de "hackeamentos éticos", não avisou previamente os desenvolvedores das bibliotecas e os administradores do repositório sobre o experimento. Posteriormente, o atacante informou que, uma vez que conseguisse um emprego, publicaria um relatório detalhado sobre os métodos usados no ataque.
De acordo com os dados divulgados pelos administradores do Packagist, todas as contas que gerenciavam os pacotes comprometidos utilizavam senhas facilmente adivinháveis e não possuíam autenticação de dois fatores habilitada. É afirmado que nas contas hackeadas haviam senhas que foram utilizadas não apenas no Packagist, mas também em outros serviços, cujas bases de dados de senhas haviam sido comprometidas anteriormente e tornadas públicas. Como alternativa para obter acesso, também poderia ter sido utilizado o sequestro do email dos proprietários das contas, que estavam vinculados a domínios expirados.
Pacotes comprometidos:
- acmephp/acmephp (124.860 instalações desde o início do pacote)
- acmephp/core (419.258)
- acmephp/ssl (531.692)
- doctrine/doctrine-cache-bundle (73.490.057)
- doctrine/doctrine-module (5.516.721)
- doctrine/doctrine-mongo-odm-module (516.441)
- doctrine/doctrine-orm-module (5.103.306)
- doctrine/instantiator (526.809.061)
- growthbook/growthbook (97.568
- jdorn/file-system-cache (32.660)
- jdorn/sql-formatter (94.593.846)
- khanamiryan/qrcode-detector-decoder (20.421.500)
- object-calisthenics/phpcs-calisthenics-rules (2.196.380)
- tga/simhash-php, tgalopin/simhashphp (30.555)
Fonte: opennet.ru
