Zverejnili informácie o obetiach phishingu, o ktorom nedávno varovali správcovia repozitára Python balíkov PyPI (Python Package Index). V dôsledku rozosielania správ s oznámením o nutnosti potvrdiť svoj email, ktoré odkazovali na falošnú stránku pypj.org (písmeno „j“ namiesto „i“), sa podarilo získať účty 4 správcov.
Zlodeji následne vygenerovali dva tokeny pre prístup k API a zverejnili dva vydania projektu num2words (0.5.15 a 0.5.16), ktoré obsahovali škodlivý kód. Modul num2words, ktorý má viac ako 3 milióny sťahovaní mesačne, poskytuje funkcie na prevod čísel na textovú reprezentáciu. Škodlivé vydania num2words boli správcami PyPI odstránené hodinu po zverejnení.
Na obídenie ochrany účtu pomocou dvojfaktorovej autentifikácie útočníci použili priesvitné proxy prenosu dát z phishingovej stránky pypj.org na reálnu stránku pypi.org, čím bolo používateľovi vytvorené pocit, že pracuje s reálnym katalógom PyPI. Aj prihlasovacia stránka bola proxy a útočníci kontrolovali nielen pôvodne zadané heslo, ale aj odpoveď na overovací dopyt druhého faktora autentifikácie.
Na zamedzenie budúcim útokom prostredníctvom proxy správcovia PyPI implementovali ochranu, ktorá kontroluje doménu cez JavaScript na strane klienta a v prípade nezhody hashov domén vydáva varovanie (útočníkovi nestojí nič v ceste na úrovni proxy filtrovať takýto skript alebo nahradiť overovací hash).
Zdroj: opennet.ru
