Интересный вектор атаки на packages подметили в последнем подкасте #радиот.

В двух словах - хацкеры сканят пакаджи, грепают все те, которые были зарегистрированы/залиты с кастомных доменных емейлов и проверяют а не истёк ли домен. В случае, если истёк - регистрируют, создают там нужную почту и льют новую версию package'а с вредоносом.

В данном случае белый хакер продемонстрировал данную уязвимость на питоньих и растовских пакетах. Код, который он залил ничего не делал кроме как ... обхода всех environment variables проекта с отсылкой на сервер.

Как заявил сам автор - получилось собрать около 1000 переменных окружения, ну а что все там хранят? Правильно, секреты, конн стринги и прочие креды.

Вообще, атака на емейлы такого рода стара как мир, пакеты - лишь один из сценариев. К слову, совсем недавно чей-то бот купил истёкший домен аргентинского Google. В тот раз домен быстренько изъяли назад, однако you know, если даже гугл забывает продлять, то что уже говорить про остальные компании.

Будьте аккуратны с кастомными доменами и не забывайте их продлять 😉

#security