Experti v oblasti kybernetické bezpečnosti odhalili škodlivé Package nahrané do repozitáře Python Package Index (PyPI), které fungují jako nástroje pro ověřování ukradených e-mailových adres prostřednictvím API TikToku a Instagramu.
Všechny tři package již nejsou na PyPI dostupné. Názvy těchto Python balíčků jsou:
– checker-SaGaF (2 605 stažení)
– steinlurks (1 049 stažení)
– sinnercore (3 300 stažení)
„Jak napovídá název, checker-SaGaF ověřuje, zda je e-mailová adresa spojena s účtem na TikToku a Instagramu,“ uvedla analytička Socket Olivia Brown v analýze.
Konkrétně je package navržen tak, aby odesílal HTTP POST požadavky na API pro obnovu hesla TikToku a na přihlašovací endpointy Instagramu, aby zjistil, zda je zadaná e-mailová adresa platná, tedy zda existuje držitel účtu odpovídající této adrese.
„Jakmile útočníci tuto informaci získají, mohou pouze na základě e-mailové adresy vyhrožovat zveřejněním osobních údajů (doxingem) nebo spamem, provádět falešné nahlášení účtů s cílem jejich zablokování, nebo si pouze ověřit cílové účty před zahájením útoků typu credential stuffing nebo password spraying,“ uvedla Brown.
„Ověřené seznamy uživatelů se také prodávají na dark webu za účelem zisku. Může se zdát neškodné vytvářet slovníky aktivních e-mailů, ale tyto informace umožňují a urychlují celé řetězce útoků a minimalizují detekci tím, že cílí pouze na známé platné účty.“
Druhý balíček „steinlurks“ podobným způsobem cílí na účty Instagramu tím, že odesílá podvržené HTTP POST požadavky, které napodobují aplikaci Instagram pro Android, aby se vyhnul detekci. Dosahuje toho tím, že cílí na různé API endpointy:
– i.instagram[.]com/api/v1/users/lookup/
– i.instagram[.]com/api/v1/bloks/apps/com.bloks.www.caa.ar.search.async/
– i.instagram[.]com/api/v1/accounts/send_recovery_flow_email/
– www.instagram[.]com/api/v1/web/accounts/check_email/
„Sinnercore“ se naopak zaměřuje na spuštění procesu zapomenutého hesla pro zadané uživatelské jméno, a to prostřednictvím API endpointu „b.i.instagram[.]com/api/v1/accounts/send_password_reset/“ s falešnými HTTP požadavky obsahujícími cílové uživatelské jméno.
Zdroj: The Hacker News
Zdroj: IT SECURITY NETWORK NEWS
Zdroj: ICT NETWORK NEWS
