Information om phishing-offren, som nyligen varnade av administratörerna för Python-paketförrådet PyPI (Python Package Index), har kommit fram. Genom att skicka meddelanden om att bekräfta sin e-postadress, som hänvisade till en falsk webbplats pypj.org (bokstaven „j“ istället för „i“), lyckades man fånga kontona till fyra underhållare.
Som ett resultat genererade gärningspersonerna två tokens för API-åtkomst och publicerade två versioner av projektet num2words (0.5.15 och 0.5.16), som innehöll skadlig kod. Modulen num2words, som har över 3 miljoner nedladdningar per månad, tillhandahåller funktioner för att konvertera siffror till textrepresentation. De skadliga versionerna av num2words togs bort av administratörerna för PyPI en timme efter publiceringen.
För att kringgå säkerheten för kontot via tvåfaktorautentisering använde angriparna transparent proxying av trafik från den phishing-webbplatsen pypj.org till den verkliga webbplatsen pypi.org, vilket fick användaren att få en känsla av att arbeta med det verkliga kataloget PyPI. Inloggningssidan proxyades också och angriparna kontrollerade inte bara det ursprungliga inloggningslösenordet, utan även svaret på kontrollfrågan för den andra faktorn i autentiseringen.
För att motverka framtida attacker genom proxying har administratörerna för PyPI implementerat skydd som kontrollerar domänen genom JavaScript på klientsidan och i händelse av mismatch av hash-värden domäner ger en varning (ingenting hindrar angriparen från att filtrera en sådan skript på proxy-nivå eller ersätta kontrollhashen).
Källa: opennet.ru
