Informacioni mbi viktimat e phishingut është zbuluar, për të cilin administratorët e depozitës së paketave Python, PyPI (Python Package Index), paralajmëruan ditët e fundit. Si rezultat i dërgimit të mesazheve për nevojën e konfirmimit të emailit, të cilat i referoheshin një faqeje të rreme pypj.org (shkronja "j" në vend të "i"), u arrit të kapen llogaritë e 4 mbështetjeve.
Si rezultat, sulmuesit gjeneruan dy tokene për qasje në API dhe publikuan dy lëshime të projektit num2words (0.5.15 dhe 0.5.16), që kishin kod të dëmshëm. Moduli num2words, i cili ka më shumë se 3 milion shkarkime në muaj, ofron funksione për konvertimin e numrave në përfaqësimin tekstual. Lëshimet e dëmshme të num2words u hoqën nga administratorët e PyPI një orë pas publikimit.
Për të anashkaluar mbrojtjen e llogarisë përmes autentifikimit me dy faktorë, sulmuesit përdorën një proxy të transparencës për të drejtuar trafikun nga faqja e phishingut pypj.org në faqen reale pypi.org, duke krijuar për përdoruesin ndjesinë e të punuarit me katalogun e vërtetë të PyPI. Faqja e hyrjes gjithashtu u proxy-zua dhe sulmuesit kontrolluan jo vetëm fjalëkalimin fillestar të hyrjes, por edhe përgjigjen ndaj pyetjes verifikuese të faktorëve të dytë të autentifikimit.
Për të kundërshtuar sulmet e ardhshme përmes proxy-it, administratorët e PyPI zbatuan një mbrojtje që kontrollon domenin përmes JavaScript në anën e klientit dhe në rast të mos përputhjes së hash-it të domenëve jep një paralajmërim (sulmuesi nuk ka asgjë që e pengon në nivelin e proxy-it të filtrojë një skenar të tillë ose të zëvendësojë hash-in e verifikimit).
Burimi: opennet.ru
