Неизвестные злоумышленники получили контроль над Python-пакетом ctx и PHP-библиотекой phpass, после чего разместили обновления с вредоносной вставкой, которая отправляла на внешний сервер содержимое переменных окружения с расчётом на кражу токенов к AWS и системам непрерывной интеграции. По имеющейся статистике Python-пакет 'ctx' загружается из репозитория PyPI около 22 тысяч раз в неделю. PHP-пакет phpass распространяется через репозиторий Composer и за всё время был загружен более 2.5 млн раз.

В ctx вредоносный код был размещён 15 мая в выпуске 0.2.2, 26 мая в выпуске 0.2.6, а также 21 мая был подменён старый релиз 0.1.2, изначально сформированный в 2014 году. Предполагается, что доступ был получен в результате компрометации учётной записи разработчика.

Что касается PHP-пакета phpass, то вредоносный код был интегрирован через регистрацию нового GitHub-репозитория с тем же именем hautelook/phpass (владелец оригинального репозитория удалил свою учётную запись hautelook, чем воспользовался злоумышленник и зарегистрировал новую учётную запись с тем же именем и разместил под ней репозиторий phpass с вредоносным кодом). Пять дней назад в репозиторий было добавлено изменение, отправляющее на внешний сервер содержимое переменных окружения AWS_ACCESS_KEY и AWS_SECRET_KEY.

Попытка размещения вредоносного пакета в репозитории Composer была оперативно заблокирована и скомпрометированный пакет hautelook/phpass был перенаправлен на пакет bordoni/phpass, продолжающий развитие проекта. В ctx и phpass переменные окружения отправлялись на один и тот же сервер "anti-theft-web.herokuapp[.]com", что свидетельствует о том, что атаки по захвату пакетов были проведены одним лицом.

Дополнение: Перехват модулей был совершён исследователем безопасности, претендующим на получение премии за выявления уязвимостей. Судя по опубликованному отчёту пакеты были захвачены через получение доступа к удалённым GitHub-репозиториям проектов. Исследователь написал скрипт, который проанализировал какие из пакетов в PyPI и Composer привязаны к несуществующей учётной записи в GitHub.

Далее был найден способ регистрации репозитория с тем же именем. GitHub запрещает создание репозиториев с именами удалённых проектов, но оказалось, что эту блокировку можно обойти создав репозиторий с тем же именем в произвольной учётной записи, после чего переименовать эту учётную запись в целевую. Например, если нужно зарегистрировать репозиторий user/rep, где учётная запись user удалена, GitHub даст создать повторно пользователя user, но не позволит создать репозиторий rep. Обойти это ограничение можно создав репозиторий rep в учётной записи другого пользователя (например, user1), после чего переименовать этого пользователя в user. В ходе эксперимента удалось получить переменные окружения с более 1000 хостов.