Information om phishing-offren, som nyligen varnade av administratörerna för Python-paketförrĂ„det PyPI (Python Package Index), har kommit fram. Genom att skicka meddelanden om att bekrĂ€fta sin e-postadress, som hĂ€nvisade till en falsk webbplats pypj.org (bokstaven âjâ istĂ€llet för âiâ), lyckades man fĂ„nga kontona till fyra underhĂ„llare.
Som ett resultat genererade gÀrningspersonerna tvÄ tokens för API-Ätkomst och publicerade tvÄ versioner av projektet num2words (0.5.15 och 0.5.16), som innehöll skadlig kod. Modulen num2words, som har över 3 miljoner nedladdningar per mÄnad, tillhandahÄller funktioner för att konvertera siffror till textrepresentation. De skadliga versionerna av num2words togs bort av administratörerna för PyPI en timme efter publiceringen.
För att kringgÄ sÀkerheten för kontot via tvÄfaktorautentisering anvÀnde angriparna transparent proxying av trafik frÄn den phishing-webbplatsen pypj.org till den verkliga webbplatsen pypi.org, vilket fick anvÀndaren att fÄ en kÀnsla av att arbeta med det verkliga kataloget PyPI. Inloggningssidan proxyades ocksÄ och angriparna kontrollerade inte bara det ursprungliga inloggningslösenordet, utan Àven svaret pÄ kontrollfrÄgan för den andra faktorn i autentiseringen.
För att motverka framtida attacker genom proxying har administratörerna för PyPI implementerat skydd som kontrollerar domÀnen genom JavaScript pÄ klientsidan och i hÀndelse av mismatch av hash-vÀrden domÀner ger en varning (ingenting hindrar angriparen frÄn att filtrera en sÄdan skript pÄ proxy-nivÄ eller ersÀtta kontrollhashen).
KĂ€lla: opennet.ru
