Kontrollen över 14 PHP-bibliotek i Packagist-repositoriet har tagits över

Administratörerna för paketförrådet Packagist har avslöjat uppgifter om en attack, där kontrollen över konton för 14 PHP-bibliotek har tagits, bland annat populära paket som instantiator (526 miljoner installationer totalt, 8 miljoner installationer per månad, 323 beroende paket), sql-formatter (94 miljoner installationer totalt, 800 tusen per månad, 109 beroende paket), doctrine-cache-bundle (73 miljoner installationer totalt, 500 tusen per månad, 348 beroende paket) och rcode-detector-decoder (20 miljoner installationer totalt, 400 tusen per månad, 66 beroende paket).

Efter att kontona hade blivit komprometterade ändrade angriparen filen composer.json genom att lägga till information i projektbeskrivningen om att han söker jobb inom informationssäkerhet. För att ändra filen composer.json ersatte angriparen URL:erna till de ursprungliga förråden med länkar till modifierade gafflar (i Packagist tillhandahålls endast metadata med länkar till projekt som utvecklas på GitHub, och vid installation med kommandot „composer install“ eller „composer update“ laddas paketen direkt från GitHub). Till exempel, för paketet acmephp, byttes det kopplade förrådet från acmephp/acmephp till neskafe3v1/acmephp.

Tydligen var attacken inte avsedd att utföra skadliga handlingar, utan var en demonstration av oacceptabelt slarv när det gäller användning av återkommande inloggningsuppgifter på olika webbplatser. Angriparen informerade dock inte, i strid med etablerad praxis för "etiska hack", utvecklarna av biblioteken och administratörerna av förrådet i förväg om det genomförda experimentet. Senare meddelade angriparen att han skulle publicera en detaljerad rapport om metoderna som användes i attacken så snart han lyckades få ett jobb.

Enligt uppgifterna från administratorerna på Packagist använde alla konton som hanterade de komprometterade paketen lätta lösenord utan tvåfaktorsautentisering. Det påstås att lösenord som användes i de hackade kontona också hade använts i andra tjänster vars lösenordsdatabaser tidigare hade komprometterats och blivit offentligt tillgängliga. Ett alternativ för åtkomst kan också ha varit att fånga e-postmeddelandena från kontoinnehavarna, som var kopplade till utgångna domäner.

Komprimerade paket:

• acmephp/acmephp (124,860 installationer genom tiden)
• acmephp/core (419,258)
• acmephp/ssl (531,692)
• doctrine/doctrine-cache-bundle (73,490,057)
• doctrine/doctrine-module (5,516,721)
• doctrine/doctrine-mongo-odm-module (516,441)
• doctrine/doctrine-orm-module (5,103,306)
• doctrine/instantiator (526,809,061)
• growthbook/growthbook (97,568
• jdorn/file-system-cache (32,660)
• jdorn/sql-formatter (94,593,846)
• khanamiryan/qrcode-detector-decoder (20,421,500)
• object-calisthenics/phpcs-calisthenics-rules (2,196,380)
• tga/simhash-php, tgalopin/simhashphp (30,555)

Källa: opennet.ru