Dün yakalanan bir kimlik avı kampanyası, PYPI kayıt defterinde yayınlanan Python paketlerinin bakımını hedefleyen görüldü.
Python paketleri 'Exotel' ve 'Spam', saldırganların kimlik avı e -postası için düşen bakımcıların başarıyla tehlikeye atılmasından sonra kötü amaçlı yazılımlarla bağlanan yüzlerce arasındadır.
PYPI Kayıt Defterinin yöneticileri dün Django Proje Kurulu üyesi Adam Johnson'ın şüpheli bir e -posta aldığını bildirdikten sonra PYPI koruyucularını aktif olarak hedeflediğini doğruladı.
E -posta, paketleri PYPI olarak yayınlanan geliştiricileri zorunlu bir "doğrulama" sürecine tabi tutmaya veya paketlerinin PYPI kayıt defterinden temizlenmesi riskini almaya çağırıyor:
AMAÇ: Kimlik avı mesajı, zorunlu bir 'doğrulama' sürecinin uygulandığını iddia eder ve kullanıcıları bir paketi doğrulamak için bir bağlantıyı izlemeye veya PYPI'dan kaldırılan paketin başka şekilde riskine girmeye davet eder. pic.twitter.com/r0jogt98yg
Johnson, "Kimlik avı sitesi oldukça ikna edici görünüyor."
"Ancak Google sitelerinde olduğu gibi, sol altta yüzen bir 'bilgi' düğmesi var. Bunu tıklamak, siteyi yaptığım bir kimlik avı saldırısı olarak rapor etmenizi sağlıyor."
Ne yazık ki, bazı geliştiriciler kimlik avı e -postaları için düştü ve kimlik bilgilerini saldırganın web sayfasına girdi ve kreasyonlarının kötü amaçlı yazılımlarla bağlanmasına ve bağlanmasına neden oldu.
Paketlerin kaçırılmış sürümleri listesi arasında 'spam' (sürüm 2.0.2 ve 4.0.2) ve 'exotel' (sürüm 0.1.6) bulunmaktadır. Bu sürümler dün Pypi'den BleepingComputer tarafından onaylandığı gibi kaldırıldı.
Pypi yöneticileri daha da, desenle eşleşen "yüzlerce yazım hatası" belirlediklerini ve kaldırdıklarını güvence altına aldı.
Kaçırılmış sürümlere eklenen kötü amaçlı kod, kullanıcının bilgisayar adını etki alanı LinkedOpports [.] Com'a açığa çıkardı ve ayrıca BleepingComputer'ın aynı yasadışı alanda istekte bulunduğunu gördüğü bir Truva atını indirdi ve başlattı.
Kötü niyetli sürümler, yine LinkedOpports [DOT] COM kullanılarak benzer bir deseni takip eder. Şu anda, farkında olduğumuz kötü niyetli sürümler: - exotel == 0.1.6 - spam == 2.0.2 ve == 4.0.2 Ayrıca, aynı desene uyan yüzlerce yazım hatası çıkardık. pic.twitter.com/mjvhwgnaz3
Pypi, "Yeni kötü niyetli sürümlerin raporlarını aktif olarak inceliyoruz ve kaldırılmalarını ve bakım hesaplarının geri yüklenmesini sağlıyoruz" diyor.
Diyerek şöyle devam etti: "Ayrıca PYPI'daki projeler arasında 2FA gibi güvenlik özellikleri sunmak için çalışıyoruz."
Bununla birlikte, kayıt defteri yöneticileri, PYPI hesap kimlik bilgilerini sağlamadan önce sayfanın URL'sini kontrol etmek gibi kimlik avı saldırılarından korumak için atabileceği bir dizi adım paylaştı:
Bir kimlik avı sitesinde kimlik bilgileri girmediğinizi doğrulamak için, adres çubuğundaki URL'nin https://t.co/diae0xwm0r olduğunu ve sitenin TLS sertifikasının https://t.co/diae0xwm0r adresine verildiğini onaylayın. . Ayrıca, tarayıcı tarafından entegre bir şifre yöneticisi kullanmayı düşünün. pic.twitter.com/krg0jk8nqu
Bu gelişme, May'ın PYPI yöneticilerinin kritik projelerin bakıcıları için iki faktörlü kimlik doğrulamasını zorunlu hale getirmeye teşvik eden popüler PYPI kütüphanesi 'CTX'i ele geçirmesini takip ediyor.
Açık kaynaklı yazılım bileşenlerini içeren tekrarlanan kötü amaçlı yazılım olayları ve saldırıları, kayıt defteri yöneticilerini platformlarında güvenliği artırmaya zorladı. Henüz projelerini güvence altına almanın ek yükünün, onları geliştirmenin yanı sıra, açık kaynaklı bir yazılım geliştiricisinin beklentileriyle ne kadar iyi olacağı henüz görülmedi.
Pypi, kritik projeler için 2FA zorunludur, geliştirici geri iter
241 npm ve pypi paketleri Linux kriptominerleri düşürerek yakalandı
Kötü niyetli PYPI paketleri anlaşmazlığı şifre çalan kötü amaçlı yazılımlara dönüştürür
Kötü niyetli PYPI paketleri, karşı vuruş sunucularında DDOS saldırılarını hedefliyor
10 kötü amaçlı PYPI paketleri geliştiricinin kimlik bilgilerini çaldı
Kaynak: Bleeping Computer