Supply Chain Angriffe auf das Risiko - Open Source Security
Hintergrund des Lieferkettenangriffs – WASP-Angriff auf Python – Versand von polymorpher Malware WASP Stealer; Hunderte von Opfern infizieren
TL;DR
Forschungsanalyse des Pywale -Pakets im Zusammenhang mit einer böswilligen Aktivität (WASP-Gruppe). Der WASP-Bodenansatz, um bekannte Paketanfragen von Python, auch bekannt als StarJacking-Technik, zu imitieren . Eine verdächtige Datei „models.py“ , die base64-codierte Stage1-Nutzlast enthielt, die Stage2-Nutzlast abruft, die stark verschleiert ist und böswillige Aktionen ausführt.
Die Sicherheit der Lieferkette im Open-Source-Ökosystem ist zu einem großen Schwerpunkt für die breitere Open-Source-Community geworden – einschließlich der vielen Unternehmen und Regierungen, die sich auf Open-Source-Software verlassen.
Als Industrie und Community übernehmen schlechte Akteure Benutzerkonten, korrumpieren beliebte Open-Source-Abhängigkeiten und nutzen Schwachstellen in einigen der größten Open-Source-Projekte aus.
Es ist kein Geheimnis, dass ein Großteil unserer modernen digitalen Infrastruktur auf Open Source läuft. Der Erfolg von Open-Source-Software (OSS) hängt zum Teil von der Geschwindigkeit ab, mit der sie von einer globalen Community von Entwicklern entwickelt wird. Diese Geschwindigkeit kann jedoch ihren Preis haben, wenn Entwickler die Schwachstellen in ihrer Lieferkette übernehmen.
Beobachtungen:
Das Paket führt Starjacking durch. Es verkörpert die berühmte Anforderungsbibliothek. Das Paket zeigt auf die berühmte Python-Bibliothek, dh Anfragen , um legitim auszusehen.
https://github.com/psf/requests/stargazers
https://requests.readthedocs.io/en/latest/
Kurzanalyse:
Das Paket erwähnt eine Liste von Anforderungen, die heruntergeladen werden können von 'https://github.com/psf/requests’Quelle.
Die Sicherheit der Lieferkette im Open-Source-Ökosystem ist zu einem großen Schwerpunkt für die breitere Open-Source-Community geworden – einschließlich der vielen Unternehmen und Regierungen, die sich auf Open-Source-Software verlassen.
Als Industrie und Community übernehmen schlechte Akteure Benutzerkonten, korrumpieren beliebte Open-Source-Abhängigkeiten und nutzen Schwachstellen in einigen der größten Open-Source-Projekte aus.
Es ist kein Geheimnis, dass ein Großteil unserer modernen digitalen Infrastruktur auf Open Source läuft. Der Erfolg von Open-Source-Software (OSS) hängt zum Teil von der Geschwindigkeit ab, mit der sie von einer globalen Community von Entwicklern entwickelt wird. Diese Geschwindigkeit kann jedoch ihren Preis haben, wenn Entwickler die Schwachstellen in ihrer Lieferkette übernehmen.
Beobachtungen:
Das Paket führt Starjacking durch. Es verkörpert die berühmte Anforderungsbibliothek. Das Paket zeigt auf die berühmte Python-Bibliothek, dh Anfragen , um legitim auszusehen.
https://github.com/psf/requests/stargazers
https://requests.readthedocs.io/en/latest/
Analyse:
Das Paket erwähnt eine Liste von Anforderungen, die heruntergeladen werden können von 'https://github.com/psf/requests’Quelle.
Beim Durchgehen des Codes kann beobachtet werden, dass eine verdächtige Datei „ models.py “ eine base64-codierte Codezeichenfolge enthält, die in Zeile 8 gefunden wird, das gleiche kann in Ausstellung 1.2 erwähnt werden.
Nach dem Decodieren des codierten Codes stellen wir fest, dass der Code einige Nutzdaten von abrufthttp://51.103.210.236/inject/8HA7LjxopFuz52AI
Nach der Suche nach IP-Reputation wurde festgestellt, dass keiner von ihnen es als bösartig gemeldet hat. Dasselbe kann in den Anlagen 1.4 und 1.5 festgestellt werden.
Nach dem Navigieren auf der IP wurde die folgende Nachricht beobachtet.
Um mit dem base64-decodierten Code fortzufahren, haben wir weiter zu der erwähnten URL navigiert, von der die Nutzlast abgerufen wird. Es scheint, dass verschleierter Code gehostet wurde.
Verschönerung des Python-Codes. Es sieht so aus, als ob weitere HEX-Verschleierung in mehreren Teilen der Nutzlast verwendet wird. Um festzustellen, was genau der Code zu tun versucht, müssen wir den HEX-codierten Code entschlüsseln.
An diesem Punkt konnten wir feststellen, dass eine test.js -Datei erstellt und ausgeführt wurde, aber beachten Sie, was genau sie zu tun versucht.
Später wurde festgestellt, dass das Paket mit den Bedrohungsakteuren „ WASP“, auch bekannt als WASP Stealer , in Verbindung gebracht wurde, die vom Forschungsteam von Checkmarkx & Checkpoint offengelegt wurden . Shout-out an Checkmarx für den Start eines so großartigen Forschungsgebiets. Schauen Sie sich den vom Checkmarx-Sicherheitsforschungsteam veröffentlichten Blog WASP Attack on Python – Polymorphic Malware Shipping WASP Stealer an; Hunderte von Opfern infizieren
Ein anderer Forscher hat ebenfalls eine ähnliche Analyse veröffentlicht, sehen Sie sich dieses YouTube -Video an.
![Was ist überhaupt eine verknüpfte Liste? [Teil 1]](https://post.nghiatu.com/assets/images/m/max/724/1*Xokk6XOjWyIGCBujkJsCzQ.jpeg)
