Supply Chain Attacchi al rischio - Open Source Security
Background dell'attacco alla catena di approvvigionamento — Attacco WASP a Python — Malware polimorfico che spedisce WASP Stealer; Infettare centinaia di vittime
TL; DR
Analisi della ricerca del pacchetto pywale collegato a un'attività dannosa (gruppo WASP). L'approccio a terra di WASP per impersonare richieste di pacchetti ben note da python, ovvero la tecnica StarJacking. Un file sospetto models.py che conteneva il payload stage1 con codifica base64 che recupera il payload stage2 che è altamente offuscato ed esegue azioni dannose.
La sicurezza della catena di approvvigionamento nell'ecosistema open source è diventata un importante punto di attenzione per la più ampia comunità open source, comprese le numerose aziende e governi che si affidano al software open source.
Come industria e comunità, i cattivi attori prendono il controllo degli account utente, corrompono le dipendenze open source popolari e sfruttano le vulnerabilità in alcuni dei più grandi progetti open source.
Non è un segreto che gran parte della nostra moderna infrastruttura digitale funzioni su open source. Il successo del software open source (OSS), in parte, dipende dalla velocità con cui viene sviluppato da una comunità globale di sviluppatori. Ma questa velocità può avere un costo se gli sviluppatori ereditano le vulnerabilità nella loro catena di approvvigionamento.
Osservazioni:
Il pacchetto sta eseguendo lo starjacking. Sta impersonando la famosa libreria delle richieste. Il pacchetto punta alla famosa libreria python, ovvero le richieste per sembrare legittime.
https://github.com/psf/requests/stargazers
https://requests.readthedocs.io/en/latest/
Breve analisi:
Il pacchetto menziona un elenco di requisiti che possono essere scaricati da 'https://github.com/psf/requests’fonte.
La sicurezza della catena di approvvigionamento nell'ecosistema open source è diventata un importante punto di attenzione per la più ampia comunità open source, comprese le numerose aziende e governi che si affidano al software open source.
Come industria e comunità, i cattivi attori prendono il controllo degli account utente, corrompono le dipendenze open source popolari e sfruttano le vulnerabilità in alcuni dei più grandi progetti open source.
Non è un segreto che gran parte della nostra moderna infrastruttura digitale funzioni su open source. Il successo del software open source (OSS), in parte, dipende dalla velocità con cui viene sviluppato da una comunità globale di sviluppatori. Ma questa velocità può avere un costo se gli sviluppatori ereditano le vulnerabilità nella loro catena di approvvigionamento.
Osservazioni:
Il pacchetto sta eseguendo lo starjacking. Sta impersonando la famosa libreria delle richieste. Il pacchetto punta alla famosa libreria python, ovvero le richieste per sembrare legittime.
https://github.com/psf/requests/stargazers
https://requests.readthedocs.io/en/latest/
Analisi:
Il pacchetto menziona un elenco di requisiti che possono essere scaricati da 'https://github.com/psf/requests’fonte.
Durante l'esame del codice si può osservare che un file sospetto ' models.py ' ha una stringa di codice codificata in base64 trovata alla riga numero 8, lo stesso può essere indicato nell'allegato 1.2.
Dopo aver decodificato il codice codificato, osserviamo che il codice sta recuperando un carico utile dahttp://51.103.210.236/inject/8HA7LjxopFuz52AI
Dopo aver cercato la reputazione dell'IP, è stato notato che nessuno di loro lo ha segnalato come dannoso. Lo stesso si può notare negli Allegati 1.4 e 1.5.
Dopo aver navigato sull'IP sotto il messaggio è stato osservato.
Andando avanti con il codice decodificato in base64, siamo passati ulteriormente all'URL menzionato da dove viene recuperato il payload. Sembra che sia stato ospitato del codice offuscato.
Abbellire il codice Python. Sembra che un ulteriore offuscamento HEX venga utilizzato in più parti del carico utile. Per concludere cosa sta cercando di fare esattamente il codice, dobbiamo decodificare il codice con codifica HEX.
A questo punto siamo stati in grado di notare che è stato creato un file test.js e lo stesso è stato eseguito, ma notiamo con certezza cosa sta cercando di fare esattamente.
Successivamente è stato notato che il pacchetto era associato agli attori delle minacce " WASP" alias WASP Stealer divulgati dal team di ricerca di Checkmarkx e Checkpoint. Complimenti a Checkmarx per aver avviato un'area di ricerca così importante. Dai un'occhiata al blog pubblicato dal team di ricerca sulla sicurezza di Checkmarx WASP Attack on Python — Polymorphic Malware Shipping WASP Stealer; Infettare centinaia di vittime
Anche un altro ricercatore ha condiviso un'analisi simile della stessa, guarda questo video di YouTube .
![Che cos'è un elenco collegato, comunque? [Parte 1]](https://post.nghiatu.com/assets/images/m/max/724/1*Xokk6XOjWyIGCBujkJsCzQ.jpeg)
