Autor mitmproxy, nástroja na analýzu HTTP/HTTPS prevádzky, si všimol, že sa na indexe balíkov Python (PyPI) objavila fork jeho projektu. Fork bol distribuovaný pod podobným názvom mitmproxy2 a v neexistujúcej verzii 8.0.1 (aktuálna verzia mitmproxy je 7.0.4). Myšlienka bola taká, že nepozorní používatelia by si balík pomýlili s novou verziou hlavného projektu (typesquatting) a chceli by vyskúšať novú verziu.
Mitmproxy2 mal podobné zloženie ako mitmproxy, s výnimkou úprav, ktoré implementovali škodlivú funkcionalitu. Úpravy pozostávali z odstránenia HTTP hlavičky „X-Frame-Options: DENY“, ktorá zakazuje spracovanie obsahu v rámci iframe, vypnutia ochrany XSRF a nastavenia hlavičiek „Access-Control-Allow-Origin: *“, „Access-Control-Allow-Headers: *“ a „Access-Control-Allow-Methods: POST, GET, DELETE, OPTIONS“.
Tieto zmeny odstránili obmedzenia prístupu k HTTP API používanému na správu mitmproxy prostredníctvom webového rozhrania, čo umožnilo akémukoľvek útočníkovi v rovnakej lokálnej sieti spustiť svoj kód v systéme používateľa odoslaním HTTP požiadavky.
Správa adresára súhlasila s tým, že vykonané zmeny by sa mohli interpretovať ako škodlivé a samotný balík ako pokus o propagáciu iného produktu pod rúškom hlavného projektu (popis balíka tvrdil, že ide o novú verziu mitmproxy, nie o fork). Po odstránení balíka z adresára bol nasledujúci deň do PyPI uverejnený nový balík s názvom mitmproxy-iframe s popisom, ktorý sa tiež úplne zhodoval s oficiálnym balíkom. Balík mitmproxy-iframe bol odvtedy tiež odstránený z adresára PyPI.
Zdroj: opennet.ru
