Razvijalci VoIP platforme Telnyx so opozorili uporabnike na kompromitacijo paketa telnyx v repozitoriju PyPI, ki ima 756 tisoč prenosov na mesec in zagotavlja SDK za dostop do API-ja Telnyx iz programov v jeziku Python. 27. marca so napadalci uspeli objaviti dva zlonamerna izpusta telnyx 4.87.1 in 4.87.2, potem ko so pridobili dostop do PyPI s prevzemom prijavljenih podatkov vzdrževalca. Zlonamerne različice so se širile od 6:51 do 13:13 (MSK), nato pa so jih administratorji PyPI blokirali. Infrastruktura, API, glasovne storitve in platforma Telnyx niso bile prizadete.
Kompromitacija je bila izvedena v okviru obsežnejšega napada na dobavno verigo TeamPCP, v okviru katerega so bile pred dnevi kompromitirane Python-paket LiteLLM in Trivy, kot tudi integrirana zlonamerna koda v dodatku OpenVSX Checkmarx in uveden zlonamerni črv v 68 paketov v repozitoriju NPM. RSA-ključ, uporabljen za šifriranje pošiljanih podatkov, se je ujemal s ključi, ki so bili uporabljeni v drugih napadih skupine TeamPCP.
V različicah, ki so jih oblikovali napadalci, je bila vgrajena zlonamerna koda, ki je bila integrirana v datoteko «_client.py» in se je aktivirala ob uvozu modula. Po aktivaciji je strežnikov iz napadalcev naložen zvočni datoteki ringtone.wav za Unix-podobne sisteme in hangup.wav za Windows. Te datoteke so se uspešno predvajale kot zvočne, vendar so vsebovale integrirane s pomočjo stegano grafije skrite zlonamerne obdelovalnike.
Na platformi Windows je bil zlonamerni obdelovalnik shranjen v sistem kot «%APPDATA%\Microsoft\Windows\Start Menu\Programs\Startup\msbuild.exe» in se je zagnal ob vsakem prijavi. V macOS in Linuxu je potekal iskanje in pošiljanje SSH ključev, prijavljenih podatkov, vsebine spremenljivk okolja, dostopnih žetonov API, parametrov za povezovanje z oblačnimi storitvami AWS, GCP, Azure in K8s, ključev za kripto denarnice, gesel za DB in podobno. Odkrite podatke so šifrirali z uporabo algoritmov AES-256-CBC + RSA-4096 in jih poslali s HTTP POST zahtevo na zunanji host.
Izvor: opennet.ru
