Utvecklarna av VoIP-plattformen Telnyx har varnat sina anvÀndare för att paketet telnyx i PyPI-repositoriet, som har 756 000 nedladdningar per mÄnad och erbjuder SDK för att anvÀnda Telnyx API frÄn Python-program, har blivit komprometterat. Den 27 mars kunde angripare publicera tvÄ skadliga versioner, telnyx 4.87.1 och 4.87.2, efter att ha fÄtt tillgÄng till PyPI genom kapitulation av följares inloggningsuppgifter. De skadliga versionerna spreds mellan 6:51 och 13:13 (MSK), och blockerades dÀrefter av PyPI-administrationen. Infrastruktur, API, rösttjÀnster och plattformen Telnyx pÄverkades inte.
Komprometteringen skedde som en del av en mer omfattande supply chain-attack av TeamPCP, dÀr nyligen Python-paketen LiteLLM och Trivy blev komprometterade, samt att skadlig kod integrerades i OpenVSX-tillÀgget Checkmarx och en skadlig mask blev inbÀddad i 68 paket i NPM-repositoriet. RSA-nyckeln som anvÀndes för att kryptera de skickade data matchade nycklar som anvÀnts i andra attacker av gruppen TeamPCP.
I de versioner som skapades av angriparna var skadlig kod inbÀddad, vilken integrerades i filen «_client.py» och aktiverades vid import av modulen. Efter aktivering laddades servrar angriparna ner ljudfilen ringtone.wav för Unix-liknande system och hangup.wav för Windows. Dessa filer kunde framgÄngsrikt spela upp ljud men innehöll inbÀddade skadliga hanterare via steganografi.
PÄ Windows-plattformen sparades den skadliga hanteraren i systemet som «%APPDATA%\Microsoft\Windows\Start Menu\Programs\Startup\msbuild.exe» och startades vid varje inloggning. I macOS och Linux genomfördes sökningar och skickades SSH-nycklar, inloggningsuppgifter, innehÄll frÄn miljövariabler, API-token, uppkopplingsparametrar till molntjÀnster som AWS, GCP, Azure och K8s, nycklar till kryptovaluta-plÄnböcker, databaslösenord, etc. De upptÀckta uppgifterna krypterades med hjÀlp av algoritmerna AES-256-CBC + RSA-4096 och skickades via HTTP POST-förfrÄgan till en extern vÀrd.
KĂ€lla: opennet.ru
