Kötü Amaçlı PyPI Paketleri Gmail ve WebSockets’i Sistem Ele Geçirmek İçin Kullanıyor

Açık kaynaklı yazılım dünyası, yeni bir güvenlik tehdidiyle karşı karşıya. Socket’in tehdit araştırma ekibi, yedi zararlı PyPI paketinin Gmail’in SMTP sunucuları ve WebSocket bağlantıları üzerinden sistemlere sızarak veri çaldığını ve uzaktan komut çalıştırdığını ortaya çıkardı. Bu paketler, Python geliştiricilerinin sıklıkla kullandığı PyPI üzerinden yıllarca dağıtıldı.

Araştırma ekibi, tespit ettikleri paketleri PyPI yönetimine bildirdi. Paketler platformdan kaldırıldı ancak bazıları dört yıldan uzun süredir oradaydı. Özellikle Coffin-Codes-2022 isimli paket, 18.000’den fazla kez indirildi. Socket’in paylaştığı zararlı paket listesi şöyle:

• Coffin-Codes-Pro (9.000 indirme)
• Coffin-Codes-NET2 (6.200 indirme)
• Coffin-Codes-NET (6.100 indirme)
• Coffin-Codes-2022 (18.100 indirme)
• Coffin2022 (6.500 indirme)
• Coffin-Grave (6.500 indirme)
• cfc-bsb (2.900 indirme)

Bu paketlerin, Django projelerine Jinja2 şablonları entegre etmeye yarayan yasal Coffin paketinin taklidi olduğu belirlendi.

Saldırganlar Gmail Sunucularını Tünel Olarak Kullandı

Socket, bu zararlı paketlerin sistemlere arka kapı yerleştirmek için Gmail hizmetini kullandığını tespit etti. Paketler, içine gömülmüş Gmail kullanıcı bilgileriyle Gmail’in SMTP sunucusuna bağlanıyor ve saldırgana sistem hakkında bilgi gönderiyor. Bu iletişim, güvenlik duvarları ve antivirüs sistemleri tarafından çoğu zaman zararsız gibi algılanıyor çünkü Gmail gibi güvenilir servislerle yapılan bağlantılar genellikle şüpheli görülmüyor.

Bu ilk aşamadan sonra sistem, SSL üzerinden WebSocket bağlantısı kurarak saldırganın sunucusuyla kalıcı ve şifreli bir iletişim tüneli oluşturuyor. Bu sayede saldırgan, sistemin iç ağına erişim sağlayabiliyor, dosya aktarımı yapabiliyor, kabuk komutları çalıştırabiliyor, kimlik bilgilerini toplayabiliyor ve başka sistemlere yayılabiliyor.

Socket, kullanılan e-posta adreslerinden yola çıkarak bu paketlerin kripto para hırsızlığı amacı taşıdığını belirtiyor. Örneğin [email protected] gibi adreslerin daha önce de benzer saldırılarda kullanıldığı bildiriliyor. Zararlı paketleri yüklemiş olabilecek kullanıcıların bu paketleri sistemlerinden derhal kaldırması, API anahtarları ve parolaları yenilemesi öneriliyor.

Saldırı sadece PyPI ile sınırlı değil. npm platformunda da benzer şekilde kripto cüzdanlarını hedef alan crypto-encrypt-ts adlı bir paket keşfedildi. Bu paket, TypeScript tabanlı bir şifreleme kütüphanesi gibi görünerek geliştiricileri kandırıyor. Ancak arka planda, sistemdeki kripto cüzdanlarının özel anahtarlarını çalıp tehdit aktörüne ait bir sunucuya gönderiyor.

Bu zararlı paket, sadece 1.000 birimden fazla bakiyesi olan cüzdanları hedef alıyor. Kalıcılığını sağlamak için sistemde cron görevleri tanımlıyor. Paket, npm’den kaldırılmadan önce yaklaşık 2.000 kez indirildi.