Foi revelada informações sobre as vítimas de phishing que os administradores do repositório de pacotes Python PyPI (Python Package Index) alertaram recentemente. Como resultado de uma mensagem solicitando a confirmação de e-mail, que redirecionava para um site falso pypj.org (com a letra 'j' em vez de 'i'), contas de 4 mantenedores foram comprometidas.
Os criminosos geraram dois tokens de acesso à API e publicaram duas versões do projeto num2words (0.5.15 e 0.5.16), contendo código malicioso. O módulo num2words, que possui mais de 3 milhões de downloads mensais, fornece funções para converter números em representação textual. As versões maliciosas do num2words foram removidas pelos administradores do PyPI uma hora após a publicação.
Para contornar a proteção da conta usando autenticação de dois fatores, os atacantes usaram o proxy transparente do tráfego do site de phishing pypj.org para o verdadeiro site pypi.org, levando o usuário a acreditar que estava trabalhando com o verdadeiro catálogo do PyPI. A página de login também foi proxyada, permitindo que os atacantes controlassem não apenas a senha inicialmente inserida, mas também a resposta à verificação do segundo fator de autenticação.
Para impedir futuros ataques através do proxy, os administradores do PyPI implementaram uma proteção que verifica o domínio via JavaScript do lado do cliente e, em caso de divergência nos hashes, domínios emite um aviso (nada impede que o atacante filtre tal script no nível do proxy ou troque o hash de verificação).
Fonte: opennet.ru
